無線ネットワークおよび無線ネットワークにおける認証方法
【課題】 無線ＬＡＮ（ＷＬＡＮ）アクセスサービスにおいて、公衆アクセスを実現する。また、ユーザが、アクセスポイント間を移動することを可能にする。
【解決手段】 複数のサブネットワークを含む無線ネットワークを提供する。無線ネットワーク内の各サブネットワークは、ネットワークスイッチ３０１と、エアアクセスポイント３００を有する。エアアクセスポイント３００は、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークはさらに、サブネットワーク間の相互接続を提供するために各サブネットワークのネットワークスイッチ３０１に接続されたルータ３０２を有する。無線ネットワークはまた、他の外部ネットワークへの接続を提供するために、複数のサブネットワークに接続されたゲートウェイルータ３２５を有する。
【解決手段】 複数のサブネットワークを含む無線ネットワークを提供する。無線ネットワーク内の各サブネットワークは、ネットワークスイッチ３０１と、エアアクセスポイント３００を有する。エアアクセスポイント３００は、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークはさらに、サブネットワーク間の相互接続を提供するために各サブネットワークのネットワークスイッチ３０１に接続されたルータ３０２を有する。無線ネットワークはまた、他の外部ネットワークへの接続を提供するために、複数のサブネットワークに接続されたゲートウェイルータ３２５を有する。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、無線（ワイヤレス）ローカルエリアネットワークのアクセスポイント間でのシームレスな移動性（モビリティ）を提供する、公衆（パブリック）アクセス無線ローカルエリアネットワークのアーキテクチャに関する。
【０００２】本発明は、さまざまなレベルの移動加入者サービスと、パケットレベルの認証および暗号化を提供する。本発明のアーキテクチャは、既存のローカルエリアネットワーク上でサポート可能であり、仮想事業者（バーチャルオペレータ）が、無線ローカルエリアネットワークのオペレーションを監視することを可能にする。本発明はまた、公衆アクセス無線ローカルエリアネットワークと、その制御およびデータプロトコルを運用する方法も提供する。
【０００３】
【従来の技術】以下、本発明を理解するための適当な基礎を提供するために、いくつかの主題について述べる。
【０００４】インターネットサービスおよび無線技術の急速な発展は、セルラ移動通信システムと、無線インターネットのための無線ＬＡＮ（ＷＬＡＮ：Wireless LAN）アクセスシステムの両方の発展をもたらし、それにより、便利なインターネットアクセスと位置情報依存型(location-sensitive)アプリケーションをユーザに提供している。従来のほとんどのＷＬＡＮアクセスシステムは、会社あるいは大学のネットワークの場合のように私設（プライベート）のものであるか、または、ＷＬＡＮ事業者のサービスへの加入によるものであるかのいずれかである。
【０００５】公衆サービス事業者は、その顧客（カスタマ）によって期待される容量およびパフォーマンスを提供するために、有線および無線の両方で、この種のプライベートネットワーキング（企業ＬＡＮ）に関心を持っている。インターネット音声・映像マルチキャスティングや双方向マルチメディアアプリケーションのような、さまざまな発展しつつあるインターネットアプリケーションのためには、高速および低遅延であることが重要である。公衆セルラ移動通信ネットワークは、屋外３８４ｋｂｐｓ、屋内２Ｍｂｐｓまでのダウンストリームバーストレートを提供するという改良が提案されている第３世代（３Ｇ）移動通信システムの場合でも、この要求を十分に満たすことはできない。これらのレートは、第２世代システムに比べて相当の改善であり、ＭＩＭＯ（多重アンテナ）技術は、スペクトル効率を大幅に増大させる可能性がある。しかし、帯域幅は依然として制限され、スペクトル競売における事業者による巨額の支払いによりコストが高くなる。これは、本質的な問題点である。その理由は、３Ｇ移動通信システムは、２Ｇシステムと同様、予約されたスペクトルにおいて連続的なカバレジを提供することを目標としているからである。システムの容量が投資コストに対してスケーラブルとなる可能性は低い。
【０００６】ＷＬＡＮ技術は、低コスト、かつ、大容量でインターネットアクセスを提供することが可能であり、実際に提供している。この技術は、（後述のように、予約スペクトルにおけるセルラ移動通信マイクロセルを実現することも可能であるが）「フリーな」スペクトルを利用し、スケーラブルであり、有線ネットワークに容易に統合される。規制されていないスペクトルにおけるＷＬＡＮ間の干渉が問題となる可能性がある。スペクトル適合性を施行することは、資産所有者（例えば、ＷＬＡＮを通じての公衆アクセスが重要な事業となる空港やホテル）の義務となる。ＩＥＥＥ８０２．１１システムとＢｌｕｅｔｏｏｔｈ（登録商標、以下同じ）システムとの間の干渉問題は、これらが両方とも１つの資産所有者によってサポートされる場合、ＩＥＥＥ８０２．１５で対処されている。
【０００７】従来のＷＬＡＮホットスポットソリューションは、そのいくつかの制限にもかかわらず、Nokia社のPublic Access Zone、Cisco社のAironet、およびLucent社のORINOCO Public Access Solutionsのような商用無線ＬＡＮ技術を用いた、多くのアプリケーションにとって受容可能なものである。無線事業者には、MobileStar Corporation、WayportおよびNomadixのような会社が含まれる。
【０００８】図１を参照して、従来のＧＳＭセルラ移動通信システムについて説明する。ＧＳＭシステムは、回線交換ネットワークを通じて基地局１０３に接続された移動通信交換センタ（ＭＳＣ）１０２を含む、階層アーキテクチャを有する。移動通信交換センタ１０２は、他の移動通信交換センタや他の基地局（図示せず）に接続されることも可能である。基地局１０３は、基地局コントローラ（ＢＳＣ）１０４と、複数の基地局トランシーバ（ＢＴＳ）１０５−１、１０５−２、１０５−ｎを有する。ただし、ｎは、基地局コントローラ１０４に接続された基地局トランシーバの個数である。移動通信交換センタ１０２は、公衆交換電話ネットワーク（ＰＳＴＮ）インタフェース１０１に接続される。移動通信交換センタ１０２は、ホームロケーションレジスタ（ＨＬＲ）１０６、バーチャルロケーションレジスタ（ＶＬＲ）１０７および端末識別レジスタ（ＥＩＲ：equipment identity register）１０８に接続される。ホームロケーションレジスタ１０６は、認証センタ１０９にも接続される。
【０００９】図１に示されているように、ＧＳＭのデータサービスバージョンであるＧＰＲＳ(Generalized Packet Radio Service)もまた、階層アーキテクチャを使用する。ゲートウェイＧＰＲＳ／３Ｇサポートノード（ＧＧＳＮ）１１０は、ホームロケーションレジスタ１０６およびインターネットインタフェース１１３に接続される。サービングＧＰＲＳ／３Ｇサポートノード（ＳＧＳＮ）１１１は、ゲートウェイＧＰＲＳ／３Ｇサポートノード１１０、ホームロケーションレジスタ１０６および端末識別レジスタ１０８に接続される。ゲートウェイＧＰＲＳ／３Ｇサポートノード１１０およびサービングＧＰＲＳ／３Ｇサポートノード１１１は、パケット交換ドメインにあり、ＩＰマルチメディアサブシステムを有する。サービングＧＰＲＳ／３Ｇサポートノード１１１は、パケット交換ネットワークを通じて基地局１０３に接続される。サービングＧＰＲＳ／３Ｇサポートノード１１１は、パケット交換ネットワークを通じて無線ネットワーク基地局１１２にも接続される。無線ネットワーク基地局１１２は、無線ネットワークコントローラ（ＲＮＣ）１１４と、複数の基地局トランシーバ（ＮＯＤＥ−Ｂ）１１５−１、１１５−ｎを有する。ただし、ｎは基地局トランシーバの個数である。図１に示されるアーキテクチャは、回線交換音声、パケット交換データおよびＩＰマルチメディアトラフィックの集中化されたトラフィックフローを伝送するコアネットワークを提供する。
【００１０】しかし、いくつかの標準化団体やフォーラムは、集中化トラフィックのボトルネックのない、分散ＩＰベースの移動通信システムの概念を受け容れている。ここで注意すべき点であるが、分散されると想定されているのは、移動加入者のルーティングのみである。モビリティ管理、権限付与、認証、アカウンティングおよびディレクトリサービスのような制御機能は、分散されることもされないことも可能である。そのような組織には、３ＧＰＰ−２(Third Generation Partnership Project 2)、ＩＥＴＦ(Internet Engineering Task Force)、ＭＷＩＦ(Mobile Wireless Internet Forum)、および国際電気通信連合（ＩＴＵ）のＩＭＴ−２０００組織がある。
【００１１】図２を参照して、ＩＥＴＦのモバイルＩＰモデルに基づく３ＧＰＰ−２ネットワークアーキテクチャについて説明する。このアーキテクチャには、図１に示したような移動通信システムのためのコアネットワークがない。その代わりに、ホームロケーションレジスタ（ＨＲＬ）２０２およびバーチャルロケーションレジスタ（ＶＬＲ）２０３を有する２Ｇシステム２０１は無線ネットワーク（ＲＮ：radio network）２０４に接続される。無線ネットワーク２０４は、無線リソースコントローラ（ＲＲＣ：radio resource controller）２０６およびパケット制御機能（ＰＣＦ：packet control function）デバイス２０５を有する。２Ｇシステム２０１は、無線リソースコントローラ２０６に接続される。インターネット機器２０７もまた、無線リソースコントローラ２０６に接続されることが可能である。３ＧＰＰ−２アーキテクチャにおける無線ネットワーク２０４は、ＩＰネットワーク２０９（例えば、ＬＡＮ、ＭＡＮまたはＷＡＮ）に接続されたゲートウェイ（ＰＤＳＮ）２０８に直接接続される。ユーザホームネットワーク２１０には、ＩＰネットワーク２０９を通じて到達することができる。さらに、無線ＬＡＮ（ＷＬＡＮ）２１２もまた、第２のゲートウェイ（ＰＤＳＮ）２１１を通じてＩＰネットワーク２０９に接続されることが可能である。非ＩＰ音声トラフィックは、無線リソースコントローラ２０６から公衆交換電話ネットワーク（ＰＳＴＮ）２１３への直接パスを有し、２Ｇ音声ネットワークが３Ｇネットワーク内のエンティティとして管理されるようにしている。
【００１２】さらに、ＩＰに基づくモビリティシステムは、インターネットを通じて、外部のあるいは一時的なセルラ移動通信基地局に、および、ＷＬＡＮに、拡張可能である。ＩＥＥＥ８０２．１１、ＨｉｐｅｒＬＡＮ−２、およびＢｌｕｅｔｏｏｔｈエアインタフェースとともに３ＧエアインタフェースをサポートするＷＬＡＮは、将来、公衆ホットスポットにおいて、および、会社や住居の環境において、ブロードバンドアクセスのために利用される可能性がある。
【００１３】
【発明が解決しようとする課題】現在のＷＬＡＮアクセスサービスの１つの問題点は、ＷＬＡＮへのアクセスが、特定のＷＬＡＮ事業者の加入者に制限されているという点で、公衆アクセスがないことである。もう１つの問題点は、加入者が、単一のアクセスポイントに結びつけられることがあることである。これは、商店街を歩き回りながらインターネットラジオを聴くというようなアプリケーションの妨げとなる可能性がある。もう１つの欠点は、単一のＷＬＡＮエアインタフェースに制限される可能性があり、それにより、セルラ移動通信エアインタフェースを有する機器を含めて、そのＷＬＡＮエアインタフェースがサポートしようとする機器の範囲が縮小されることである。
【００１４】
【課題を解決するための手段】本発明は、上記の状況に鑑み、従来技術の上記の問題点および制限を克服するものである。
【００１５】本発明の第１の側面は、複数のサブネットワークを含む無線ネットワークを提供する。無線ネットワーク内の各サブネットワークは、１つまたは複数のネットワークスイッチを有する。各サブネットワークはさらに、１つまたは複数のエアアクセスポイントを有する。エアアクセスポイントは、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークはさらに、サブネットワーク間の相互接続を提供するために各サブネットワークのネットワークスイッチに接続された、１つまたは複数のルータを有する。無線ネットワークはまた、他の外部ネットワークへの接続を提供するために、複数のサブネットワークに接続された１つまたは複数のゲートウェイルータを有する。
【００１６】本発明の第２の側面は、複数の仮想事業者によって運用される無線ネットワークを提供する。無線ネットワーク内の各サブネットワークは、１つまたは複数のネットワークスイッチを有する。各サブネットワークはさらに、１つまたは複数のエアアクセスポイントを有する。エアアクセスポイントは、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークはさらに、サブネットワーク間の相互接続を提供するために各サブネットワークのネットワークスイッチに接続された、１つまたは複数のルータを有する。無線ネットワークはまた、他の外部ネットワークへの接続を提供するために、複数のサブネットワークに接続された１つまたは複数のゲートウェイルータを有する。本発明の第２の側面は、マルチプロトコルラベルスイッチングを用いてゲートウェイルータと複数のサブネットワークとの間で移動加入者データをルーティングすることによって、各仮想事業者からのサービスへのアクセスを提供する。
【００１７】本発明の第３の側面は、無線ネットワークにアクセスする移動加入者を認証する方法を提供する。移動加入者は、エアアクセスポイントを通じて無線ネットワークにアクセスする。エアアクセスポイントは、エアインタフェースおよびコンピュータを有し、エアアクセスポイントコンピュータは、移動加入者に関連する公開鍵を格納するデータベースサーバに接続される。この方法は、移動端末からエアアクセスコンピュータへ、ユーザ識別番号を有する第１メッセージを送信し、第１符号語を計算し、第１符号語をデータベースコンピュータへ転送するステップを有する。次に、この方法は、データベースコンピュータからエアアクセスポイントコンピュータへ第２符号語を送信し、第２符号語から第１ランダム文字列を抽出し、ユーザ識別番号および第１ランダム文字列を含む第２メッセージを移動端末へ送信する。次に、この方法は、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、および第３符号語を有する第３メッセージを、移動端末からエアアクセスコンピュータへ送信する。次に、この方法は、移動端末から受信された第３メッセージに基づいて第４符号語を計算し、第４符号語をデータベースコンピュータへ送信する。第４符号語を計算した後、この方法は、データベースコンピュータで第５符号語を計算し、第５符号語をエアアクセスコンピュータへ送信する。最後に、この方法は、第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージを、エアアクセスコンピュータから移動端末へ送信する。
【００１８】本発明の第４の側面は、無線ネットワークにアクセスする移動加入者を認証するコンピュータソフトウェア製品である。移動加入者は、エアアクセスポイントを通じて無線ネットワークにアクセスする。エアアクセスポイントは、エアインタフェースおよびコンピュータを有し、エアアクセスポイントコンピュータは、移動加入者に関連する公開鍵を格納するデータベースサーバに接続される。このコンピュータソフトウェア製品は、エアアクセスコンピュータおよびデータベースコンピュータが所定のオペレーションを実行することを可能にするソフトウェア命令と、そのソフトウェア命令を保持するコンピュータ可読媒体とを含む。所定のオペレーションは、移動端末からエアアクセスコンピュータへ、ユーザ識別番号を有する第１メッセージを送信し、第１符号語を計算し、第１符号語をデータベースコンピュータへフォワーディングすることを含む。所定のオペレーションはさらに、データベースコンピュータからエアアクセスポイントコンピュータへ第２符号語を送信し、第２符号語から第１ランダム文字列を抽出し、ユーザ識別番号および第１ランダム文字列を含む第２メッセージを移動端末へ送信することを含む。所定のオペレーションはさらに、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、および第３符号語を有する第３メッセージを、移動端末からエアアクセスコンピュータへ送信し、その後、移動端末から受信された第３メッセージに基づいて第４符号語を計算し、第４符号語をデータベースコンピュータへ送信することを含む。所定のオペレーションはさらに、データベースコンピュータで第５符号語を計算し、第５符号語をエアアクセスコンピュータへ送信し、その後、第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージを、エアアクセスコンピュータから移動端末へ送信することを含む。
【００１９】本発明の第５の側面は、移動通信サービスが複数の仮想事業者によって提供される無線ネットワークを運用する方法を提供する。無線ネットワークは複数のサブネットワークを含み、各サブネットワークは少なくとも１つのネットワークスイッチと、少なくとも１つのエアアクセスポイントを有する。エアアクセスポイントは、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークはさらに、複数のサブネットワークのそれぞれのネットワークスイッチに接続された少なくとも１つのルータと、複数のサブネットワークに接続された少なくとも１つのゲートウェイルータとを有する。この方法は、各サブネットワーク内のエアアクセスポイントと、前記少なくとも１つのゲートウェイルータとの間に複数のマルチプロトコルラベルスイッチングパスを作成するステップを含む。この方法はさらに、仮想事業者が各サブネットワークのエアアクセスポイントを通じてアクセスされることができるように、各マルチプロトコルラベルスイッチングパスを複数の仮想事業者のうちの１つに割り当てるステップと、無線ネットワークを通るデータのパケットヘッダに埋め込まれる識別タグを、複数の仮想事業者のそれぞれに割り当てるステップとを含む。この方法はさらに、無線ネットワークを通るデータパケットのヘッダにマルチプロトコルラベルスイッチング情報を割り当てることにより、サブネットワークのネットワークスイッチが、データパケットのヘッダに基づいてマルチプロトコルラベルスイッチングパスを通じてデータパケットをルーティングすることを可能にする。
【００２０】添付図面は、本明細書と一体をなして本発明のさまざまな側面を例示し、発明の詳細な説明とともに、本発明のさまざまな側面、利点および原理を説明する。
【００２１】
【発明の実施の形態】本発明のさまざまな側面について説明する前に、本発明の理解を容易にし、いくつかの用語の意味を示すために、従来技術に関するいくつかの項目について説明する。
【００２２】本明細書において、「コンピュータシステム」という用語は、可能な限り最広義の意味を包含し、スタンドアローンプロセッサ、ネットワーク接続されたプロセッサ、メインフレームプロセッサ、および、クライアント／サーバ関係にあるプロセッサを含むが、これらには限定されない。「コンピュータシステム」という用語は、少なくともメモリおよびプロセッサを含むように理解されるべきである。一般に、メモリは、いろいろなときに、実行可能プログラムコードの少なくとも一部を格納し、プロセッサは、その実行可能プログラムコードに含まれる命令のうちの１つまたは複数を実行する。
【００２３】理解されるように、「所定のオペレーション」という用語、「コンピュータシステムソフトウェア」という用語、および「実行可能コード」という用語は、本明細書の目的にとって、実質的に同じものを意味する。本発明の実施には、メモリとプロセッサが物理的に同じ場所に位置することは必要でない。すなわち、プロセッサとメモリは、異なる物理的装置に、あるいは、地理的に異なる位置にさえ、ある可能性があることを見越している。
【００２４】本明細書において、当業者には理解されるように、「媒体」あるいは「コンピュータ可読媒体」には、ディスケットあるいはフロッピィディスク、テープ、コンパクトディスク、集積回路、カートリッジ、通信回線を通じてのリモート伝送、あるいは、コンピュータにより利用可能な他の任意の媒体が含まれる。例えば、コンピュータシステムソフトウェアを配布するためには、供給元は、ディスケットを提供することもあり、あるいは、衛星伝送により、直接電話回線により、またはインターネットにより、何らかの形式で、所定のオペレーションを実行するための命令を送信することもある。
【００２５】コンピュータシステムソフトウェアは、ディスケットに「書き込まれる」ことも、集積回路に「格納される」ことも、通信回線を通じて「伝送される」ことも可能であるが、理解されるように、本明細書の目的のためには、コンピュータ利用可能媒体は、所定のオペレーションを実行するための命令を「保持する」と呼ばれる。すなわち、この「保持する」という用語は、所定のオペレーションを実行するための命令がコンピュータ利用可能媒体に関連づけられる上記のすべての等価な方法を包含することを意図している。
【００２６】したがって、簡単のため、「プログラム製品」という用語は、以下では、所定のオペレーションを実行するための命令を何らかの形式で保持する、上で定義したようなコンピュータ利用可能媒体を指すために用いられる。
【００２７】以下、添付図面を参照して、本発明のさまざまな側面の詳細について説明する。
【００２８】従来の仮想（バーチャル）ＬＡＮ（ＶＬＡＮ）は、スイッチＬＡＮ環境における論理的グルーピングおよびブロードキャスト閉じ込めメカニズムである。ＬＡＮ内のスイッチは、グループに属するデバイスをサポートするポートに、ブロードキャスト／マルチキャストイーサーネットフレームをフォワーディングすることによって、論理グループメンバシップを施行する。ＩＥＥＥのＶＬＡＮ標準８０２．１Ｑは、ＩＥＥＥイーサーネットヘッダの４バイトのセクション内に、１２ビットのＶＬＡＮ ＩＤを規定している。８０２．１Ｑを実装するスイッチは、グループメンバシップを判定するために、各イーサーネットフレーム内のＶＬＡＮ ＩＤを調べるだけでよい。
【００２９】本発明のＶＯＬＡＮ（Virtual Operator ＬＡＮ）は、いくつかのＬＡＮセグメントにわたって拡張可能な、リソース共有およびトラフィックエンジニアリングのためのインフラストラクチャである。ＶＯＬＡＮによれば、複数の仮想事業者が、それぞれのユーザグループに、それらのサービスレベル契約にしたがって、独立のＱｏＳサービスを提供することが可能となる。これらの独立のサービスは、本発明が構築される既存のＬＡＮ環境内の既存のローカル移動加入者に提供されるサービスを妨害してはならない。上記のように、ＶＯＬＡＮは、商用ＬＡＮスイッチのＶＬＡＮ機能と、マルチセグメントＬＡＮ環境にわたるマルチプロトコルラベルスイッチング（ＭＰＬＳ）パスの利用との組合せである。
【００３０】本発明は、ネットワーク設備に投資することを必要とせずに、移動加入者にデータアクセスサービスを提供する１つまたは複数の仮想事業者を含む無線ローカルエリアネットワークアーキテクチャである。仮想事業者は、インターネットサービスプロバイダ（ＩＳＰ）や公衆通信キャリアのような第三者サービスプロバイダとともに活動する。本発明のアクセス速度は、ディジタルセルラ（２Ｇ）移動電話ネットワークの比較的低速のインターネットアクセスサービスにまさる。さらに、本発明は、標準的なインターネットおよびウェブアプリケーションを、小画面機器に適した低速バージョン（例えば、ＮＴＴドコモのｉモードサービス）とともに、サポートする。低消費電力インターネット機器は、セルラ移動通信ネットワークにおいてよりも、本発明の環境において、より実現可能性がある。本発明は、複数のＬＡＮセグメントを含むことが可能であり、オフィスビルディング、空港、ホテル、大学、商店街およびその他の大規模地区に設置可能である。本発明は、単に無線アクセスポイントを追加することによって、既存のＬＡＮインフラストラクチャを利用して構築可能であり、それにより、高価な新たなネットワーク配備が避けられる。
【００３１】本発明の物理アーキテクチャは、セルラ移動通信アーキテクチャに特に関連する個々の無線ＬＡＮに関係するのみならず、インターネットに接続し無線アクセスをサポートするように構築された任意のローカル通信インフラストラクチャにも関係する。図３を参照すると、本発明の実施例は、複数のＬＡＮセグメントを含む。あるいは、別の実施例では、本発明は、ケーブルデータシステムのような大都市アクセスネットワーク(metropolitan access network)に接続されることも可能である。本発明の実現において、仮想事業者は、セルラ移動通信事業者を含む（これには限定されない）第三者サービスプロバイダであることが可能である。
【００３２】本発明において、各仮想事業者は、専用ＬＡＮを制御する。専用ＬＡＮは、複数のネットワークセグメントにわたり拡張可能であり、仮想事業者ＬＡＮ（ＶＯＬＡＮ：Virtual Operator LAN）と呼ばれる。ＶＯＬＡＮは、一仮想事業者に属する独立の論理ＬＡＮであり、仮想事業者と公衆アクセスモビリティＬＡＮ（ＰＡＭＬＡＮ：Public Access Mobility LAN）事業者との間で履行されるサービスレベル契約（ＳＬＡ）に基づいて管理される。ＶＯＬＡＮは、安全なトラフィック分離を提供し、サービス品質（ＱｏＳ）サポート付きでトラフィックエンジニアリングがなされることが可能である。例えば、仮想事業者は、異なるレベルの加入ステータスを有する加入者にさまざまなレベルのサービスを提供することが可能である。ＶＯＬＡＮは、基礎となる仮想ＬＡＮ能力と、ＬＡＮ間セグメント機能とから構築される。表１に、ＰＡＭＬＡＮ／ＶＯＬＡＮ／ＶＬＡＮ階層を示す。
【表１】
表１： ＰＡＭＬＡＮ／ＶＯＬＡＮ／ＶＬＡＮ階層
【００３３】関連づけ、認証およびアカウンティング（ＡＡＡ：Associate, Authenticateand Accounting）は、本発明の特徴である。本発明は、サービスプロバイダのネットワークの仮想的拡張となる複数の半信頼アクセスポイントを含む。ここで、「半信頼」(semi-trusted)という用語は次のように定義される。
１．移動加入者のトラフィックをインターネットへ正しくルーティングすることについては信頼される。
２．移動加入者トラフィック内容（例えば、仮想事業者とのビジネス関係を有する特権(franchised)オペレーション）の読み出し、変更、またはなりすましをしないことについては部分的に信頼される。このレベルの信頼は、ローカルインターネットサービスプロバイダ（ＩＳＰ）と同様であり、ほとんどのインターネットブラウジングには十分である。しかし、機密性の高いデータ（例えば、クレジットカード情報、社会保障番号(Social Security Number)、運転者の免許番号）の転送のためには、本発明は、安全なエンドツーエンド転送プロトコル（例えば、ＳＳＬ）使用する。
３．正しいアカウンティング情報を仮想事業者に報告することについては部分的に信頼される。本発明の実施例では、アクセスポイントおよび移動通信機器の両方によるサービス測定が実行される。サービス測定結果は仮想事業者に報告され、サービス測定値は整合性がクロスチェックされる。さらに、本発明の実施例によれば、移動加入者／仮想事業者の認証プロセスのため、移動通信カスタマのなりすましが防止される。この認証プロセスは、アクセスポイントを透過的（トランスペアレント）にする。サービス測定および認証プロセスは、詐欺および紛争の可能性を大幅に低減する。本発明は、在圏移動加入者の認証および権限付与とともに、真正な特権基地局としてのアクセスポイントの認証を使用する。本発明は、仮想事業者をサポートするために、アクセスポイントでのＩＰレベルのＡＡＡサーバ／クライアント機能の実装を容易にする。
【００３４】図３を参照して、本発明による無線ＬＡＮネットワークの実施例について説明する。実施例のネットワークは、複数のアクセスポイント３００−１〜３００−ｎを有する。ただし、ｎは、無線ＬＡＮネットワーク内のアクセスポイントの総数である。アクセスポイントの構成については図４を参照して説明する。各アクセスポイント３００は、イーサーネットスイッチ３０１−１〜３０１−ｍに接続される。ただし、ｍは、無線ネットワーク内のイーサーネットスイッチの総数である。図３R>３に示されるように、イーサーネットスイッチ３０１は２つのアクセスポイント３００に接続される。各イーサーネットスイッチ３０１は、前述の仮想ネットワークおよびＱｏＳサービスを実現する。
【００３５】図３に示されるように、イーサーネットスイッチ３０１とアクセスポイント３００は、２つのＬＡＮセグメントにグループ化される。ＬＡＮセグメント１は、２個のイーサーネットスイッチ３０１を含む。ＬＡＮセグメント２は、１個のイーサーネットスイッチ３０１を含み、これは２個のアクセスポイント３００に接続される。ＬＡＮセグメント１とＬＡＮセグメント２は、セグメント間ゲートウェイルータ３０２を通じて互いに接続される。２つのＬＡＮセグメントの結合は、複数のアクセスポイント間のマイクロモビリティ(micromobility)を提供する。
【００３６】図４を参照して、アクセスポイントについてさらに詳細に説明する。本発明によれば、アクセスポイントは、複数のエアインタフェース３２０、３２１、３２２を有する。実施例は、ＷＬＡＮ基地局（すなわち、ＩＥＥＥ８０２．１１、ＨｉｐｅｒＬＡＮ２、Ｂｌｕｅｔｏｏｔｈ）およびセルラ移動通信基地局（すなわち、ＧＳＭ、ＩＳ−９５、ＩＳ−１３６、３Ｇ）を含むことが可能である。セルラ移動通信音声サービスについて、本発明は、アクセスポイントにおいてＧＰＲＳデータサービス（図示せず）をサポートする。
【００３７】従来のＷＬＡＮシステムでは、基地局はブリッジとして作用する。図４を参照すると、本発明では、アクセスポイントはさらに、移動端末のためにプロキシ機能を実行するＩＰアクセスルータ３１３を有する。このようなプロキシ機能の１つは、アクセスポイント内に存在する任意のエアインタフェースに対する基地局コントローラであることが可能である。このプロキシ機能は、基地局コントローラとして作用して、ＩＰレベルでＩＰゲートウェイ３２５と通信する。ＩＰアクセスルータ３１３は、後述するＡＡＡ機能も実行する。
【００３８】図３を参照すると、本発明では、ＩＰゲートウェイ３２５は、インターネットまたは公衆ネットワークへ向かうトラフィックを伝送し、モバイルＩＰトンネルを終端し、必要に応じてシグナリング変換を実行する。ＩＰゲートウェイ３２５は、実装の必要に応じて、単一のゲートウェイからなることも、複数のゲートウェイを含むことも可能である。シグナリング変換の別法として、カプセル化されたＳＳ７またはＩＳＤＮ制御信号が、Ｈ．３２３、ＳＩＰ、または他のＩＰネットワーク系信号とともに、ＩＰゲートウェイ３２５を通って透過的に伝送されることも可能である。
【００３９】ＩＰゲートウェイ３２５は、さまざまな外部ネットワークと接続されることが可能である。例えば、ＩＰゲートウェイ３２５は、別の移動通信ネットワークまたは公衆交換電話ネットワークに接続されることが可能である。ＩＰゲートウェイ３２５はＩＳＰネットワーク３４０を通じて仮想事業者のサーバ３４１にも接続される。仮想事業者のサーバ３４１上には、後述する認証および暗号化に用いられるエンドユーザ公開鍵のディレクトリ３４２がある。
【００４０】本発明では、複数の仮想事業者に対する複数の地理的ＬＡＮセグメントにわたる論理サービスネットワークを構成するために、仮想事業者ＬＡＮ（ＶＯＬＡＮ）技術が用いられる。各仮想事業者のＶＯＬＡＮ内では、異なるレベルの加入者サービスに対するＱｏＳをサポートすることが可能である。
【００４１】本発明は、各ＰＡＭＬＡＮセグメントのコアであるイーサーネットスイッチに現れる、標準に基づく仮想ＬＡＮおよびＱｏＳ機能を利用する。イーサーネットＭＡＣプロトコルは依然としてＣＳＭＡ／ＣＤであるが、全二重イーサースイッチはコンテンションなしで動作し、８０２．１ｐパケット優先制御および仮想ＬＡＮ（ＩＥＥＥ８０２．１Ｑ）を提供するための新たな標準が導入されている。
【００４２】最後に、セルラＩＰやＨＡＷＡＩＩのような、無線ＬＡＮ環境のための新たなＩＰローカルモビリティプロトコルが、モバイルＩＰのパフォーマンスを改善する。具体的には、これらの新しいプロトコルは、より高速なハンドオフ、より直接的なトラフィックルーティング、および、より分散され、スケーラブルなコネクション制御を提供する。
【００４３】これらの新しいＩＰローカルモビリティプロトコルは、本発明に容易に組み込まれる。図３を参照すると、ＩＰゲートウェイ３２５は、在圏移動加入者に対して相対的に固定アドレスとなる。したがって、ＰＡＭＬＡＮ内部のセグメント間ゲートウェイルータ３０２のみが、あるローカルアクセスポイントから別のローカルアクセスポイントへの移動加入者の移動によるパス変更について通知を受ければよい。この要件さえも、ＭＰＬＳの利用により低減される。このため、本発明によれば、移動通信機器は、ＰＡＭＬＡＮに入るときに動的にＩＰアドレスを取得する。その後、移動通信機器は、地理的ＬＡＮセグメント間を移動する際に新たなＩＰアドレス割当てを必要とせずに、地理的ＬＡＮセグメント（すなわち、ＬＡＮセグメント１およびＬＡＮセグメント２）間で自由にローミングすることができる。
【００４４】公衆インターネットアクセスを提供するためには、必要なプロトコルコンポーネントが、本発明のコアアクセスネットワーク、アクセスポイント、および在圏インターネット機器内の適所におかれなければならない。前述のように、本発明のコアネットワークは、マイクロモビリティ、仮想ＬＡＮおよび動的ホスト構成プロトコル（ＤＨＣＰ）サービスを提供する。
【００４５】図６Ａおよび図６Ｂを参照して、無線機器のプロトコルスタック５０１およびエアアクセスポイントのプロトコルスタック５０２について説明する。アクセスポイントは、ＤＨＣＰプロキシ、分散ＡＡＡのエージェント、パケットのフィルタリングおよびクラシフィケーション、ＱｏＳ制御、ならびにモビリティ管理のような、いくつかのプロトコルコンポーネントをホストする。アクセスポイントはルータに基づくため、これらのＰＡＭＬＡＮ機能は、レイヤ３以上で実装することが可能であり、無線ＭＡＣプロトコルの変更を必要としない。本発明のルータアプローチはまた、移動通信機機内のプロトコルスタックへの変更も不要である。代わりに、本発明は、既存のプロトコルコンポーネント（例えば、ＤＨＣＰクライアント、ＩＰＳｅｃ）に基づき、あるいは、アプリケーションレイヤ（例えば、認証セッション）内に実装される。本発明は、アクセスポイントにおいてＭＰＬＳと仮想ＬＡＮ（ＶＬＡＮ）を組み合わせることにより、ＰＡＭＬＡＮＱｏＳおよびモビリティ機能をサポートする仮想事業者ＬＡＮを形成する。
【００４６】本発明が単一のスイッチＬＡＮとして実装されるとき、ＶＯＬＡＮは単に、割り当てられたＶＬＡＮ ＩＤをＶＯＬＡＮのすべてのトラフィックにタグ付け（タギング）することによって、ＶＬＡＮとして実装される。移動加入者に対するＱｏＳプロビジョニングは、８個のフレーム優先順位を区別するために、ＩＥＥＥ８０２．１ｐヘッダ、すなわち、ＩＥＥＥ８０２．１Ｑヘッダに埋め込まれた３ビットセクションを用いて実装することができる。
【００４７】しかし、複数のルータが複数のサブネットワークを相互接続する大規模な実装では、ＶＬＡＮのみではもはやＶＯＬＡＮプロビジョニングには十分でない。このような環境では、ＶＯＬＡＮは、ゲートウェイルータによって接続されたＶＬＡＮのチェインとして実装することができる。これらのルータは、パケットをサブネットワークにフォワーディングするときに、仮想事業者パケットをＶＬＡＮタグにマップすることにより、ＶＯＬＡＮコヒーレンス（整合性）を維持する。ゲートウェイルータはレイヤ３で作用するため、パケットがサブネットワーク間をわたるときに、レイヤ２ヘッダからのすべてのＶＬＡＮ情報は失われる。したがって、ルータが、隣り合うサブネットワーク間のＶＬＡＮマッピングテーブルを維持することは不可能である。代わりに、ルータは、送信元および宛先のＩＰアドレスのようなレイヤ３情報を利用して、パケットのＶＯＬＡＮメンバシップを判定しなければならない。
【００４８】しかし、このアプローチにはいくつかの問題点がある。特に、ＶＬＡＮマッピング判定を行うためには、ＰＡＭＬＡＮ内のすべての中間ルータが、アクティブな移動加入者のすべてのＩＰアドレス（少なくともアドレスプレフィクス）を保持しなければならない。さらに、ＩＰルーティングがホップ単位で行われるという性質のため、相異なるＶＯＬＡＮに対するサービスプロビジョニングを効果的に管理し提供することは困難である。これらの理由により、本発明は、ＶＯＬＡＮプロビジョニングのために、ＶＬＡＮとともにＭＰＬＳを利用する。
【００４９】ＭＰＬＳは、すべての中間ルータをＶＯＬＡＮの詳細から隠蔽しながら、アクセスポイントおよびインターネットゲートウェイがＶＯＬＡＮプロビジョニングを処理する、簡単で効率的なソリューションを提供する。本発明では、ＭＰＬＳとＶＬＡＮを組み合わせることにより、エレガントなＶＯＬＡＮソリューションを提供する。本発明によれば、各ＬＡＮセグメント内では、仮想事業者ごとのトラフィックをグループ化するためにＶＬＡＮが使用される。ＰＡＭＬＡＮ全体では、ルーティングパスを設定し各ＶＯＬＡＮのプロビジョニングを行うためにＭＰＬＳが使用される。
【００５０】マルチプロトコルラベルスイッチング（ＭＰＬＳ）は、その名称が示すように、多くのリンクレイヤプロトコル上でさまざまなコネクションレス型ネットワークレイヤプロトコルに対するコンバージェンスレイヤを提供するために設計されたプロトコルである。そのもともとの目的は、ＩＰ ｏｖｅｒ ＡＴＭやフレームリレーの場合にパケットフォワーディングの効率および速度を増大させることであったが、実際にはトラフィックエンジニアリングを容易にすることが有望であるために盛んに利用される。ＭＰＬＳは、コネクションレス型レイヤ３トラフィックをトラフィックエンジニアリングがなされたトンネル（ＭＰＬＳの用語では、ＬＳＰ(Label Switched Path)）へと編成することによってこれを実現する。パケットがＭＰＬＳドメインに入る前に、ＬＳＰに対するローカル識別子として作用するように、ラベルスタックがそのネットワークレイヤヘッダの前に挿入される。ＭＰＬＳルータは、ラベルスイッチングルータ（ＬＳＲ：Label Switching Router）と呼ばれ、ＬＳＰの両端にある２つのルータはそれぞれ入口ＬＳＲおよび出口ＬＳＲと呼ばれる。パケットは、複数のＦＥＣ(Forwarding Equivalence Class)に振り分けられる。実際の必要に応じて、ＦＥＣは、異なるグラニュラリティで分類されることが可能である。例えば、１つのアドレスプレフィクスが１つのＦＥＣに対応することも可能であり、また、送信元アドレス／ポート番号と宛先アドレス／ポート番号の組合せが、２つのエンドポイント間のすべてのトラフィックを１つのＦＥＣとして指定するために使用されることも可能である。どのＬＳＲにおいても、同じＦＥＣに属する入トラフィックは均等に扱われる。すなわち、同じラベルを有する同じインタフェースへ送出される。入口ルータでは、パケットには、それが属するＦＥＣに従ってラベルが割り当てられる。ラベルづけされたパケットがＬＳＰに沿って中間ルータに到着すると、ラベルスワッピングと呼ばれるプロセスが実行される。すなわち、パケット内のラベルがまず抽出され、（入力ポート，入力ラベル）の対が、（出力ポート，出力ラベル）の対にマップされる。その後、入力ラベルは、ＭＰＬＳパケット内の出力ラベルで置き換えられ、パケットは出力インタフェースへ送出される。このプロセスは、パケットが出口ルータに到達するまで繰り返される。出口ルータで、ＭＰＬＳラベルはパケットから取り外され、パケットは通常のレイヤ３フォワーディングによりフォワーディングされる。ラベルマッピングの目的のために、ＮＨＬＦＥ(Next Hop Label Forwarding Entry)がＬＳＲで使用される。各ＮＨＬＦＥは、出力インタフェースと、ラベルスタックに対する作用と、オプションとして、パケットを伝送するためのレイヤ２カプセル化とを含む。入口ＬＳＲでは、ラベル作成のためにＦＴＮ(FEC-To-NHLFE)マップが使用される。それぞれの中間ＬＳＲでは、入力ラベルマップ（ＩＬＭ：Incoming Label Map）が入力ラベルを対応するＮＨＬＦＥに変換して、これによりＭＰＬＳパケットを変換する。
【００５１】ＭＰＬＳドメインでは、パケットは、ドメイン内へのその入口ポイントでラベルがタグ付けされ、ドメイン内ではそのラベルを使用することによりフォワーディングされる。出口ポイントでは、ラベルは取り外され、パケットはそのもとの形に戻る。実際には、入口ポイントと出口ポイントの間でのパケットの伝送のために、これらの２つのポイントの間にＬＳＰが設定される。トンネリング効果のため、移動端末宛のＩＰパケットのためのフォワーディング判定を行うには、中間のルーティングテーブルを使用することはもはや不要である。
【００５２】移動端末にとって、そのアクセスポイントは、ＰＡＭＬＡＮ内へのそのエントリポイントであり、ゲートウェイは、インターネット内へのそのエントリポイントである。そのトラフィックのほとんどは、これらの２つのポイント間と、移動端末間の通信のためのＰＡＭＬＡＮ内のアクセスポイント間を移動する。ＰＡＭＬＡＮ内でＭＰＬＳがサポートされる場合、ＰＡＭＬＡＮ全体を単一のＭＰＬＳドメインとみなすことができる。ゲートウェイおよびアクセスポイントは自然に、移動端末トラフィックに関して、（トラフィックの方向に応じて）入口および出口ポイントとなる。移動端末はそのアクセスポイントをＭＰＬＳドメイン内へのエッジＬＳＲとして使用するため、ドメイン内の中間ルータは、ラベルフォワーディングテーブルを設定するときに、どの移動端末をも知る必要がない。これにより、中間ルータは、アクセスポイントとゲートウェイに対するラベルバインディングを設定するだけでよいことになるため、移動端末が異なるアクセスポイントに移動したときに中間ルータ内のラベルテーブルを更新することが不要になる。
【００５３】図１１は、移動通信サービスが複数の仮想事業者によって提供されるＰＡＭＬＡＮネットワークを運用する例示的な方法を示す例示的な流れ図である。前述のように、ＰＡＭＬＡＮネットワークは複数のサブネットワークを有し、各サブネットワークは１つまたは複数のネットワークスイッチを有する。サブネットワーク内のエアアクセスポイントは、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。サブネットワーク間の通信は、各サブネットワークのネットワークスイッチに接続されたルータによって実現される。ネットワークの外部へのアクセスは、サブネットワークに接続されたゲートウェイルータを通じて実行される。Ｓ２００で、各サブネットワーク内のエアアクセスポイントとゲートウェイルータとの間の複数のＭＰＬＳパスが作成される。Ｓ２１０で、仮想事業者が各サブネットワークのエアアクセスポイントを通じてアクセスされることが可能となるように、ＭＰＬＳパスが複数の仮想事業者のうちの１つまたは複数に割り当てられる。したがって、複数の仮想事業者が１つのエアアクセスポイントを通じてアクセスされることも可能であり、あるいは、与えられたアクセスポイントを通じてアクセスされるのは１つの仮想事業者だけであることも可能である。Ｓ２２０で、各仮想事業者に識別タグが割り当てられ、その識別タグは、無線ネットワークを通るデータのパケットヘッダに埋め込まれる。Ｓ２３０で、ＭＰＬＳ情報が、無線ネットワークを通るデータパケットのヘッダに付加される。これにより、サブネットワークのネットワークスイッチは、データパケットのヘッダに基づいてＭＰＬＳパスを通じてデータパケットをルーティングすることが可能となる。
【００５４】図５は、マイクロモビリティをサポートするためにＰＡＭＬＡＮにおいてＭＰＬＳがどのように使用されるかを示すための、ＰＡＭＬＡＮ４０１の概略図である。移動端末４０８は、ＰＡＭＬＡＮ４０１に入ると、アクセスポイント４０４（アクセスポイント1と表す）と関連づけられ、ＤＨＣＰを通じてＩＰアドレス（ＩＰmtと表す）が動的に割り当てられる。このようなアドレスは、ＰＡＭＬＡＮ４０１内の移動端末のために予約されたアドレスのプールから割り当てられる。このアドレス割当ての直後に、アクセスポイント４０４は、ＰＡＭＬＡＮ内の他のすべての境界ルータ４０２に対して、この新しい移動端末について（したがってそのＩＰアドレスを）通知する。その後、ＩＰゲートウェイ４０２およびアクセスポイント４０３、４０４は、それに従って、それらのＦＴＮ(FEC-To-NHLFE)マップを更新する。各移動端末ＩＰアドレスは、これらのマップにおいて新しいＦＥＣに対応する。境界ルータでＦＴＮマップを正しく更新するために、次の手続きが使用される。１．マップ内にＩＰmtのエントリがまだ存在しない場合、新規作成する。２．マップ内でアクセスポイント1のエントリを検索し、そのＮＨＬＦＥをＮＨＬＦＥ1と表す。３．ＩＰmtのエントリのＮＨＬＦＥ部分をＮＨＬＦＥ1に更新する。
【００５５】このようにして、ゲートウェイ４０２またはアクセスポイント４０３、４０４は、移動ホスト宛のパケットを受信すると、自己のＦＴＮマップをチェックし、アクセスポイント４０４（アクセスポイント1）へのものと同じＬＳＰ４０６に対応するラベルを選択する。こうして、ラベル付けされたパケットは、ラベル変換のみによって、ルーティングなしで、中間ルータによりアクセスポイント４０４（アクセスポイント1）へフォワーディングされることが可能となる。このことは、中間ルータが移動端末４０８の位置について知らなくてもパケットが正しくフォワーディングされることを保証する。パケットがアクセスポイント４０４（アクセスポイント1）に到達すると、ラベルは取り外され、アクセスポイント４０４は、通常のＩＰパケットを移動端末４０８へフォワーディングする。
【００５６】移動端末４０８が新たなアクセスポイント４０３に移動すると、同じ手続きに従って、ゲートウェイ４０２および他のアクセスポイント４０３、４０４内のＦＴＮマップを更新する。しかし、１つの相違点は、移動端末４０８についての一部のパケットが、この移行期間中に、すなわち、ＦＴＮマップがゲートウェイ４０２または他のアクセスポイントで正しく更新される前に、前の（旧）アクセスポイント４０４へフォワーディングされる可能性があることである。実際にはＭＰＬＳがこの問題点を解決するのを助ける。更新手続きに従って、移動端末４０８が新アクセスポイント４０３に再関連づけされた後、旧アクセスポイント４０４のＦＴＮマップは、移動端末４０８宛のすべてのパケットを新アクセスポイント４０３へフォワーディングするように変更される。こうして、パケットは、移行期間中に誤って旧アクセスポイント４０４へフォワーディングされても、直ちに新アクセスポイント４０３へフォワーディングされる。
【００５７】現在のＭＰＬＳ配備では、ＭＰＬＳ隣接ルータは通常ポイントツーポイントコネクションを有するため、ＭＰＬＳフォワーディングプロセスは、各パケットについて、出力インタフェースおよび新たなラベルを決定するだけでよい。その場合、パケットは、出力インタフェースを通じて接続された隣接ルータへ送られることになる。したがって、ＩＬＭマップ内の各エントリは、（入力ラベル，入力ポート）の対を（出力ラベル，出力ポート）の対にマップする。ＰＡＭＬＡＮ環境では、隣接ルータは、スイッチイーサーネットＬＡＮを通じて接続されることがある。このため、物理ポートは、隣接ルータを識別するにはもはや不十分である。このような場合、各ＮＨＬＦＥは、物理インタフェースに加えて、隣接ルータのＭＡＣアドレスを含む。ルータがＭＰＬＳパケットを受け取ると、まず入力ラベルが出力ラベルで置き換えられる。その後、ＩＬＭ内にあるＭＡＣアドレスを含むイーサーネットヘッダがパケットに付加されてイーサーネットフレームを形成し、出力インタフェースを通じてイーサーネットＬＡＮへ送出される。
【００５８】図７を参照して、２つのＶＯＬＡＮを有する３セグメントＬＡＮの場合の、本発明による例示的なアーキテクチャについて説明する。図７において、ＶＯＬＡＮ１は、アクセスポイントルータからＰＡＭＬＡＮゲートウェイルータへの３つのＭＰＬＳパスを有し、ＶＯＬＡＮ２は４つのＭＰＬＳパスを有する。ＬＡＮセグメント１（６０２）は、いくつかのエアアクセスポイントを有する。ＬＡＮセグメント２（６０１）は、イーサーネットスイッチのみを有するように図示されているが、ＬＡＮセグメント２（６０１）はいくつかのエアアクセスポイントを有することも可能である。ＬＡＮセグメント３（６００）は、イーサーネットスイッチのみを有するように図示されているが、ＬＡＮセグメント３（６００）はいくつかのエアアクセスポイントを有することも可能である。セグメント間ゲートウェイルータ６１１、６１３は、ＬＡＮセグメント１、ＬＡＮセグメント２およびＬＡＮセグメント３を互いに接続する。２つのＰＡＭＬＡＮゲートウェイルータ６１０、６１２は、ＬＡＮセグメント２およびＬＡＮセグメント３のイーサーネットスイッチに接続される。ＶＯＬＡＮ１は、ＬＡＮセグメント２（６０１）を通って設けられＬＡＮセグメント１（６０２）内のエアアクセスポイントに到達する３つのＭＰＬＳパス（すなわちトンネル）を有する。ＬＡＮセグメント１（６０２）内では、ＭＰＬＳパスは、ＬＡＮセグメント内に設けられたエアアクセスポイントの一部（しかし全部ではない）に分布する。イーサーネットスイッチは、さまざまなエアアクセスポイントへのＭＰＬＳパスを実現する。図７に示されるように、１つのＶＯＬＡＮの複数のＭＰＬＳパスが単一のエアアクセスポイントへルーティングされることも可能であり、また、複数のＶＯＬＡＮの複数のＭＰＬＳパスが単一のエアアクセスポイントへルーティングされることも可能である。また、異なるゲートウェイルータからの複数のＭＰＬＳパスが単一のＬＡＮセグメント内に集められることも可能である。図７に示されるように、ＶＯＬＡＮ２の２つのＭＰＬＳパスは、１つのゲートウェイルータ６１２を通じてルーティングされ、ＶＯＬＡＮ２の他の２つのＭＰＬＳパスは、別のゲートウェイルータ６１０を通じてルーティングされる。ＬＡＮセグメント２（６０１）において、４つのＭＰＬＳパスが集められ、セグメント間ゲートウェイルータ６１３を通じてＬＡＮセグメント１（６０２）へルーティングされる。
【００５９】図７におけるクラウド（雲状の表示）は、ルータを通じて相互接続されるサブネットワークである。これらは、スペースが限られているために小さいサイズで描かれているだけであって、実際には、これらのサブネットワークは、多数のＶＬＡＮにグループ化された数百のノードを有して、相当大規模かつ複雑になることもある。隣接ルータどうしは、それらの両方が属するクラウド（サブネットワーク）を通じて互いに接続される。図７からわかるように、ＶＯＬＡＮは、相互接続するルータによって、あるクラウドから別のクラウドにマップされる。
【００６０】ＭＰＬＳを使用することにより、ＶＯＬＡＮ管理をＰＡＭＬＡＮの「境界」で限界づけることが可能となる。ＶＯＬＡＮの存在について知っている必要があるのはインターネットゲートウェイおよびアクセスポイントだけである。中間のＰＡＭＬＡＮルータにおけるルーティング機能の変更なしに組織的な方法で移動加入者トラフィックを伝送するように、ＭＰＬＳトンネルがそれらのＶＯＬＡＮの間に形成される。これらのルータは、ＭＰＬＳラベルのみを検査する。ＭＰＬＳラベルは、送信元と宛先の境界ルータ間のＶＯＬＡＮパスに関する情報を運ぶ。
【００６１】本質的に、ＶＯＬＡＮサポートのためにＭＰＬＳを利用することは、マイクロモビリティサポートの場合と非常に類似しており、両方のソリューションはＰＡＭＬＡＮに容易に統合することができる。いずれの場合も、ＭＰＬＳパスは、ＭＰＬＳドメインの入口および出口ＬＳＲとして作用する境界ルータ間で設定される必要がある。しかし、次のようないくつかの注目すべき相違点がある。１．各ＦＥＣは、もはやＩＰアドレスプレフィクスのみでは識別されず、（ＩＰアドレスプレフィクス，ＶＯＬＡＮ ＩＤ）の対によって識別される。このことは、２つの境界ルータの間で複数のＬＳＰが確立されることが必要とされる場合があることを意味し、その場合、各ＬＳＰは１つの仮想事業者に属するトラフィックを伝送する。２．境界ルータでは、移動端末のＦＴＮエントリが、その関連するアクセスポイントおよびその現在の仮想事業者に従って決定される。移動端末アドレスをその対応する仮想事業者に容易にマップするため、ＤＨＣＰサーバは、仮想事業者ごとにＩＰアドレスを割り当てるべきである。なお、移動端末は、複数のＶＯＬＡＮ（複数の仮想事業者）に属する可能性もある。このような場合、各インタフェースに１つのＩＰアドレスを割り当て、異なるインタフェースを用いて異なるＶＯＬＡＮメンバシップを識別することも可能である。３．中間ルータでは、ＩＬＭの各エントリに含まれる仮想ポートを、ＶＬＡＮタグで拡張する必要がある。このタグは、次の隣接ルータに到達するために、パケットの送り先のスイッチイーサーネットＬＡＮ内の仮想事業者を識別する。
【００６２】アクセスポイントでは、各移動加入者パケットは、仮想事業者メンバシップおよび所望のＱｏＳクラスに基づいてＦＥＣ(Forwarding Equivalence Class)にマップされる。ＦＥＣ情報を運ぶＭＰＬＳラベルがパケットに挿入され、各ＶＬＡＮ内の８０２．１ｐ優先順位とともにＶＬＡＮ割当てを決定するために、ＭＰＬＳパス上のラベルスイッチルータ（ＬＳＲ）によって使用される。ＰＡＭＬＡＮと複数の仮想事業者との間のサービス契約に従って、アクセスポイントとインターネットゲートウェイの間で、トラフィックエンジニアリングがなされたパスが設定されることが可能である。
【００６３】本発明によって移動加入者が無線サービスにアクセスしようとするとき、アクセスポイントは、移動加入者が無線サービスにアクセスする権限を有し、提供した無線サービスに正しく課金することができることを確認しなければならない。同時に、移動加入者は、ＰＡＭＬＡＮが信頼（または半信頼）可能であり、移動加入者のサービスプロバイダによって証明を受けていることを確認しなければならない。本発明によれば、移動加入者のサービスプロバイダは、ＰＡＭＬＡＮ内で仮想事業者特権(franchise)を有する。さらに、移動加入者およびＰＡＭＬＡＮは両方とも、それらの間の伝送が安全であること、および、誰も無権限のアクセスを得るために移動加入者の識別を偽造することができないことを確認しなければならない。
【００６４】本発明は、上記の点を解決するセキュリティフレームワークを提供する。このセキュリティフレームワークの実施例では、次の４つの主要なコンポーネントが提供される。
１．移動加入者と仮想事業者の間でのＲＡＤＩＵＳ(Remote Authentication Dial-In User Service)を通じた相互認証。アクセスポイントはＲＡＤＩＵＳクライアントとして作用する。仮想事業者のＲＡＤＩＵＳサーバもまたアクセスポイントに証明を与え、移動加入者とアクセスポイントが適当なレベルの相互信頼を得られるようにする。
２．移動加入者とアクセスポイントの間の、公開鍵に基づく安全なチャネルの確立。各移動加入者は、仮想事業者により管理されるディレクトリ内に公開鍵を有する。移動加入者（およびアクセスポイント）の認証後、仮想事業者はこの鍵をアクセスポイントへ送る。すると、アクセスポイントはセッション鍵を生成し、移動加入者の公開鍵を用いてセッション鍵を暗号化し、暗号化されたセッション鍵を移動加入者へ送る。
３．認証されたセッションのためのパケットごとの暗号化。いったん移動加入者がセッションごとの鍵を取得すると、すべての移動加入者トラフィックは、ＩＰＳｅｃを用いてＩＰレイヤで、または、移動通信機器とアクセスポイントの両方におけるレイヤ２プロトコル実装（例えば、ＩＥＥＥ８０２．１１）がセッションごとの鍵をサポートしている場合にはハードウェア暗号化を用いてレイヤ２で、暗号化される。
４．移動通信機器からのトラフィックを制御するための、アクセスポイントにおけるフィルタリング機能。アクセスポイントは、各パケットをフィルタリングし、パケットを通過させるべきか（セッション鍵で認証されたユーザトラフィック）、認証エンジンへ送るべきか（ログインセッショントラフィック）、それとも、ブロックすべきか（無権限のトラフィック）を判定する。このフィルタリング機能は、ＶＬＡＮ割当ておよびＱｏＳ制御のような他の多くの目的のために用いられる基本構成ブロックである。
【００６５】本発明の認証方式は、Cisco、Microsoft、Intel、SymbolおよびInformed Technologyにより提出されたＩＥＥＥ８０２．１１草案(draft proposal)におけるものと類似している。しかし、ＩＥＥＥ８０２．１１草案とは異なり、本発明のセキュリティフレームワークは、純粋にＩＰベースのソリューションを使用する。ＩＥＥＥ８０２．１１草案は、ＩＥＥＥ８０２．１ｘポートに基づく認証方式を使用し、これは、ＩＥＥＥ８０２．１１および８０２．１ｘの両方の標準への多少の変更を必要とする。
【００６６】本発明のＩＰベースのセキュリティフレームワークは、レイヤ２プロトコル（これは通常、ハードウェアに組み込まれており、変更は容易でない）を変更することを必要とせずに、相異なる無線技術にわたって動作する。ＩＰベースのセキュリティフレームワークにより、アクセスポイントは、それぞれ独自のＡＡＡ方式を有する可能性のある相異なるベンダからの無線インタフェースカードとの相互運用が可能となる。相互運用性（インターオペラビリティ）に必要なことは、必要なアプリケーションレベルの認証ソフトウェアを無線機器にインストールすることだけである。
【００６７】本発明では、移動通信機器は、オープンな認証を通じてアクセスポイントと関連づけられる。その後、アクセスポイントは、移動通信機器にＤＨＣＰにより動的ＩＰアドレスを割り当てるとともに、割り当てられたＩＰアドレスに対するフィルタをインストールする。この動的ＩＰアドレスからのすべてのＩＰトラフィックはまずアクセスポイントフィルタによって終端されてから認証エンジンに送られる。ＩＰスタックが移動通信機器に正しく設定された後、移動加入者は、アクセスポイントを通じて自己のサービスプロバイダ（仮想事業者）とのログインセッションを開始する。サービスプロバイダがＰＡＭＬＡＮと提携契約を結んでいる場合、アクセスポイントは、ＲＡＤＩＵＳサーバとして作用して、仮想事業者のＲＡＤＩＵＳサーバとのＲＡＤＩＵＳセッションを開始することができる。チャレンジ／レスポンス方式を使用し、アクセスポイントをリレーエージェントとして利用することにより、移動加入者とサービスプロバイダのＲＡＤＩＵＳサーバは、ＲＡＤＩＵＳプロトコルメッセージ交換を通じて相互に認証する。
【００６８】図８を参照して、移動加入者とサービスプロバイダのＲＡＤＩＵＳサーバとの間の認証シーケンスの実施例について説明する。このような相互認証の結果、移動加入者とアクセスポイントは、サービスプロバイダ契約に関して相互に信頼することができるようになる。この保証があると、アクセスポイントは、サービスプロバイダに対して、移動加入者の公開鍵および加入ステータスを含む移動加入者のプロファイルを送るよう要求することができる。公開鍵は、移動加入者にセッション鍵を安全に通知するために使用される一方、プロファイル内の他のすべてのパラメータは、移動加入者トラフィックに対して仮想事業者のアクセスおよびＱｏＳのポリシーを施行するために使用される。
【００６９】図８、図９および図１０を参照して、認証プロセスについてさらに詳細に説明する。Ｓ１００で、移動端末は、ユーザ識別番号（ＵＩＤ）を有する第１メッセージをエアアクセスコンピュータに送る。第１メッセージを受信すると、Ｓ１１０で、エアアクセスコンピュータは第１符号語を計算し、この第１符号語をデータベースコンピュータへ転送する。関数Ａ（ＵＩＤ，Ｋｒｃ）は、エアアクセスコンピュータとデータベースコンピュータの間で共有されている秘密鍵（Ｋｒｃ）を用いて、メッセージＵＩＤの認証暗号化から符号語を生成する。次に、Ｓ１２０で、仮想事業者サーバのデータベースコンピュータは、第２符号語をエアアクセスポイントコンピュータへ送る。第２符号語は、認証暗号化関数Ａ（（ＵＩＤ，Ｓ１，Ｅ（Ｅ（Ｓ１，Ｋｍｕ），Ｋｒｃ）），Ｋｒｃ）から得られる。ただし、Ｓ１は移動加入者によって生成されたランダムストリングであり、Ｋｍｕは移動ユーザとデータベースコンピュータの間で共有されている秘密鍵であり、Ｋｒｃはエアアクセスコンピュータとデータベースコンピュータの間で共有されている秘密鍵である。次に、Ｓ１３０で、この認証方法は、第２符号語から第１ランダム文字列Ｓ１を抽出し、ユーザ識別番号ＵＩＤおよび第１ランダム文字列Ｓ１を含む第２メッセージを移動端末へ送る。Ｓ１４０で、移動端末は、ユーザ識別番号ＵＩＤ、第１ランダム文字列Ｓ１、第２ランダム文字列Ｓ２、および第３符号語を有する第３メッセージをエアアクセスコンピュータへ送る。第３符号語は、第１ランダム文字列Ｓ１および共有鍵Ｋｍｕのセキュリティ暗号化から得られる。Ｓ１５０で、エアアクセスコンピュータは、移動端末から受信された第３メッセージに基づいて、第３メッセージおよび共有鍵Ｋｒｃのセキュリティ暗号化を用いて第４符号語を計算し、この第４符号語をデータベースコンピュータへ送る。Ｓ１６０で、データベースコンピュータは、ユーザ識別番号ＵＩＤ、第１ランダム文字列Ｓ１、共有鍵Ｋｒｃ、共有鍵Ｋｍｕおよび移動加入者の公開鍵Ｐｋｍｕを用いて第５符号語を計算する。データベースコンピュータは、この第５符号語をエアアクセスコンピュータへ送る。Ｓ１７０で、エアアクセスコンピュータは、第２ランダム文字列Ｓ２および移動加入者の公開鍵Ｐｋｍｕのセキュリティ暗号化を用いて第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージを移動端末へ送る。
【００７０】認証およびセッションごとの鍵の確立が成功した後、移動加入者は、ＰＡＭＬＡＮを用いて、公衆インターネットやローカルリソース（例えば、印刷サービス、一時記憶スペースおよびキャッシュサービス）にアクセスすることができる。アクセスポイントにおけるフィルタリング機能は、ユーザアクセスを制御し豊富な機能ポリシーのセットを施行する際に重要な役割を果たす。
【００７１】本発明によって提供される最も基本的なアクセスポリシーは、認証された移動通信機器ＩＰアドレスを、対応するセッション鍵にマップする、パケットごとの認証／暗号化ポリシーである。この対応するセッション鍵は、移動通信機器からのＩＰパケットを認証あるいは復号するために使用される。移動加入者のプロファイルには、移動加入者によって設定されるセキュリティレベルが格納される。移動加入者のプロファイル内のセキュリティのレベルに応じて、移動加入者パケットは、単にＩＰＳＥＣ認証ヘッダを用いて認証されることが可能となる。ＩＰＳＥＣ認証ヘッダは、パケット全体およびセッション鍵にわたる符号語を生成し、その結果をＩＰＳＥＣ認証ヘッダに付加することによって、移動加入者パケットを認証する。認証された移動通信機器のみが、セッション鍵をアクセスポイントと共有し、正しい認証ヘッダを生成することができるため、安全なパケットごとの認証を実行することができる。
【００７２】本発明のパケットごとの認証／暗号化ポリシーは、無権限の移動加入者がＰＡＭＬＡＮアクセスを得るために別の移動加入者のＩＰアドレスを騙るという偽造識別攻撃を防止するのに十分である。しかし、パケットごとの認証／暗号化ポリシーは、パケット内容のセキュリティを保護しない。移動加入者が盗聴(eavesdropping)を心配する場合、本発明は、ＩＰＳＥＣカプセル化セキュリティペイロード（ＥＳＰ）を用いてＩＰペイロードを暗号化する。別法として、本発明は、エンドツーエンドアプローチ（例えば、セキュアソケット）も使用する。
【００７３】本発明によりサポートされるその他のポリシーには、（１）権限のあるサービスプロバイダとの一定のタイプの加入契約のみへのアクセスを提供すること、（２）広告付きで無料アクセスを提供すること、（３）特定のインターネットサイトへのアクセスを排除すること（すなわち、保護者機能(parental control)）、（４）サービスプロバイダのＱｏＳ制限を強制すること（例えば、アクセスレートへの制限）、がある。
【００７４】トラフィックフィルタリング機能の助けを借りて、本発明は、ユーザごとのアカウンティング情報も収集も行う。一実施例では、アクセスポイントが、ユーザごとのアカウンティング情報を収集し、収集した情報を仮想事業者（すなわち、サービスプロバイダ）のＲＡＤＩＵＳサーバに送る。アカウンティング情報は、セッション継続時間、要求されたサービスの詳細なリスト、訪問されたサイトの詳細なリスト、全セッション継続時間、および、提供されたサービスのレベルを含むことが可能である。最も正確なアカウンティング情報を取得するためには、サービスプロバイダは、自己のロケーション、または、インターネット内の信頼されるエンティティのロケーションを通じて、すべての移動加入者トラフィックをルーティングしなければならないことになる。
【００７５】別法として、さまざまな加入契約に対応する、次のようないくつかのローカルに動作するメカニズムを使用することも可能である。
１．定額制： ＰＡＭＬＡＮ事業者は、仮想事業者に属する移動加入者に無制限のアクセスを提供するために、定額料金を各仮想事業者に課金する。その場合、仮想事業者は、各移動加入者に毎月定額料金を課金する。ゆるやかなアカウンティング方式が使用される。例えば、アクセスポイントのみが移動加入者トラフィックを追跡して定期的に仮想事業者に報告する。
２．セッションごと： 仮想事業者は、移動加入者のログインおよびサインオフの証明で満足する。
３．従量制： 移動加入者は、自己の移動通信機器がＰＡＭＬＡＮ上で生成した実際のトラフィックについてのみ課金される。紛争の可能性を避けるため、仮想事業者は、移動加入者およびアクセスポイントが同じトラフィック使用量を測定した証拠に対して、ディジタル署名（認証）しておかなければならない。
【００７６】複数のサブネットワークを有する本発明の大規模な実装では、モビリティ管理が重要な問題となる。本発明はレイヤ３インフラストラクチャとして作用するため、特に動的パスルーティングや高速ＡＡＡハンドオフのようなモビリティ要求は、ＩＰレイヤでサポートされなければならない。
【００７７】マイクロモビリティとは、ＰＡＭＬＡＮ環境内でのローミングを指す。ローカルな移動しかなされないときには、インターネットを通じて移動加入者のホームロケーションへリルーティングする完全なモバイルＩＰ手続きに従う必要はない。
【００７８】セルラＩＰは、複数のルータ型アクセスポイントおよび単一のインターネットゲートウェイを有するＬＡＮ環境においてマイクロモビリティをサポートするために設計された。移動通信機器が移動してその関連するアクセスポイントを変更すると、ルーティング更新メッセージが移動通信機器から新たなアクセスポイントを通じてインターネットゲートウェイへ送られる。経路上の各ルータは、アクセスポイントやインターネットゲートウェイと同様に、この変更を反映するためにそのルーティングテーブルを更新する。通常のパケット伝送に休止がある場合にルーティングテーブルエントリが期限切れにならないようにするため、移動通信機器が定期的に位置更新パケット（ページングパケット）を送信しなければならないように、これらのルーティングエントリは定期的にリフレッシュされる。ＰＡＭＬＡＮが多数の移動通信機器にサービスしているときには、このプロセス全体は相当の負荷である。
【００７９】マイクロモビリティのために、本発明は、インターネットゲートウェイとアクセスポイントの間のＭＰＬＳラベルスイッチパス（ＬＳＰ）を用いて、移動通信トラフィックを処理する。アクセスポイントおよびインターネットゲートウェイは、移動通信トラフィックの方向に応じて、入口または出口のルータとして作用する。ＬＳＰがアクセスポイントとインターネットゲートウェイの間で静的にプロビジョニングされる場合、移動通信機器が移動するときに中間ルータを更新する必要はない。異なるＬＳＰを通じて移動通信トラフィックをリダイレクトするための変更を、古い（旧）アクセスポイント、新しいアクセスポイントおよびインターネットゲートウェイのみに通知すればよい。効率的なマイクロモビリティのサポートとは別に、本発明のこの機能はまた、前述のように、仮想事業者ＬＡＮをプロビジョニングする１つの方法を提供する。
【００８０】本発明のＰＡＭＬＡＮ環境では、移動加入者が新たなアクセスポイントと関連づけられるたびに移動加入者に認証プロセスを繰り返させることは、不便さとトラフィック中断の両方の理由で好ましくない。したがって、ＡＡＡ制御の状態が旧アクセスポイントから新アクセスポイントへ円滑に転送される必要がある。旧アクセスポイントが新アクセスポイントを信頼していれば、高速で円滑なハンドオフが可能である。これは本発明の特徴である。本発明は、高速なハンドオフを保証するために、次のステップを実行する。
１．新アクセスポイントが、旧アクセスポイントから移動加入者プロファイルをフェッチする。とりわけ、この移動加入者プロファイルは、移動加入者の公開鍵、移動加入者が旧アクセスポイントと共有していた旧セッション鍵、移動通信機器のＩＰアドレス、および、旧セッションに関連するすべてのアクセスポリシーを含む。
２．旧アクセスポイントが、ＲＡＤＩＵＳサーバに、現在のアカウンティングセッションの終了を通知する。
３．新アクセスポイントが、新セッション鍵を生成し、移動加入者の公開鍵を用いて、この新セッション鍵および移動加入者の旧セッション鍵を暗号化し、その結果をＵＤＰパケットで移動加入者へ送る。移動加入者は、このパケットを受信すると、これらの鍵を復号し、旧セッション鍵を新セッション鍵と比較する。これらの２つが一致する場合、移動加入者は、新セッション鍵を用いて、アクセスポイントとの安全なセッションを確立する。
４．新アクセスポイントは、移動加入者プロファイル内のアクセスポリシーとともに、フィルタリング機能をインストールする。新アクセスポイントは、ＲＡＤＩＵＳサーバとの新たなアカウンティングセッションを開始する。
【００８１】本発明のさまざまな側面についての以上の記載は、例示および説明の目的で提示されている。これは、網羅的であることや、開示されたとおりの形に本発明を限定することを意図しておらず、さまざまな変更や変形が、上記の説明に照らして可能であり、また、そのような変更や変形は本発明の実施から得られる。本発明の原理およびその実際的な応用は、当業者が、考えている具体的な利用法に適するように、さまざまな実施態様でさまざまな変更を加えて本発明を利用することができるように説明するために、記載されたものである。
【００８２】したがって、ここでは本発明のいくつかの側面についてのみ具体的に説明したが、明らかなように、本発明の技術思想および技術的範囲を離れることなく、さまざまな変更を本発明に加えることが可能である。さらに、頭字語は単に、明細書（特許請求の範囲を含む）の読みやすさを向上させるためにのみ使用されている。注意すべき点であるが、それらの頭字語は、使用されている用語の一般性を縮小することを意図しておらず、特許請求の範囲をここに記載した実施例に制限するように解釈されてはならない。
【００８３】
【発明の効果】以上詳細に説明したように、本発明によれば、無線ネットワーク内の各サブネットワークはネットワークスイッチとエアアクセスポイントを有し、エアアクセスポイントはエアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークは、さらに、サブネットワーク間の相互接続を提供するために各サブネットワークのネットワークスイッチに接続されたルータを有する。無線ネットワークは、また、他の外部ネットワークへの接続を提供するために、複数のサブネットワークに接続されたゲートウェイルータを有する。このように構成することで、無線ＬＡＮアクセスサービスにおいて、公衆アクセスを実現することができ、また、ユーザがアクセスポイント間を移動することを可能にする。
【図面の簡単な説明】
【図１】３ＧＰＰにおけるＧＰＲＳおよび３Ｇネットワークアーキテクチャの例を示す図である。
【図２】３ＧＰＰ２分散アーキテクチャの例を示す図である。
【図３】本発明の実施例を示す図である。
【図４】本発明によるアクセスポイントの実施例を示す図である。
【図５】本発明の実施例におけるラベルスイッチパスの利用を示す図である。
【図６】エアアクセスポイントおよび無線機器のために、本発明によって使用されるプロトコルスタックを示す図である。
【図７】複数の仮想事業者に対するマルチプロトコルラベルスイッチングパスを有する、本発明の実施例を示す図である。
【図８】本発明の無線ネットワークにアクセスしようとする移動加入者を認証するために本発明によって利用される認証プロトコルを示す図である。
【図９】本発明の無線ネットワークにアクセスしようとする移動加入者を認証するために本発明によって利用される認証プロトコルを示す流れ図である。
【図１０】本発明の無線ネットワークにアクセスしようとする移動加入者を認証するために本発明によって利用される認証プロトコルを示す流れ図である。
【図１１】本発明におけるマルチプロトコルラベルスイッチングパスの作成と、マルチプロトコルラベルおよび仮想事業者識別タグの割当てを示す流れ図である。
【符号の説明】
１０２ 移動通信交換センタ（ＭＳＣ）
１０３ 基地局
１０４ 基地局コントローラ（ＢＳＣ）
１０５ 基地局トランシーバ（ＢＴＳ）
１０６ ホームロケーションレジスタ（ＨＬＲ）
１０７ バーチャルロケーションレジスタ（ＶＬＲ）
１０８ 端末識別レジスタ（ＥＩＲ）
１０９ 認証センタ
１１０ ゲートウェイＧＰＲＳ／３Ｇサポートノード（ＧＧＳＮ）
１１１ サービングＧＰＲＳ／３Ｇサポートノード（ＳＧＳＮ）
１１２ 無線ネットワーク基地局
１１３ インターネットインタフェース
１１４ 無線ネットワークコントローラ（ＲＮＣ）
１１５ 基地局トランシーバ（ＮＯＤＥ−Ｂ）
２０１ ２Ｇシステム
２０２ ホームロケーションレジスタ（ＨＲＬ）
２０３ バーチャルロケーションレジスタ（ＶＬＲ）
２０４ 無線ネットワーク（ＲＮ）
２０５ パケット制御機能（ＰＣＦ）デバイス
２０６ 無線リソースコントローラ（ＲＲＣ）
２０７ インターネット機器
２０８ ゲートウェイ（ＰＤＳＮ）
２０９ ＩＰネットワーク
２１０ ユーザホームネットワーク
２１１ ゲートウェイ（ＰＤＳＮ）
２１２ 無線ＬＡＮ（ＷＬＡＮ）
２１３ 公衆交換電話ネットワーク（ＰＳＴＮ）
３００ アクセスポイント
３０１ イーサーネットスイッチ
３０２ セグメント間ゲートウェイルータ
３１３ ＩＰアクセスルータ
３２０，３２１，３２２ エアインタフェース
３２５ ＩＰゲートウェイ
３４０ ＩＳＰネットワーク
３４１ 仮想事業者サーバ
３４２ エンドユーザ公開鍵ディレクトリ
４０１ ＰＡＭＬＡＮ
４０２ ＩＰゲートウェイ
４０３，４０４ アクセスポイント
４０６ ＬＳＰ
４０８ 移動端末
５０１ 無線機器のプロトコルスタック
５０２ エアアクセスポイントのプロトコルスタック
６００ ＬＡＮセグメント３
６０１ ＬＡＮセグメント２
６０２ ＬＡＮセグメント１
６１０，６１２ ＰＡＭＬＡＮゲートウェイルータ
６１１，６１３ セグメント間ゲートウェイルータ
【０００１】
【発明の属する技術分野】本発明は、無線（ワイヤレス）ローカルエリアネットワークのアクセスポイント間でのシームレスな移動性（モビリティ）を提供する、公衆（パブリック）アクセス無線ローカルエリアネットワークのアーキテクチャに関する。
【０００２】本発明は、さまざまなレベルの移動加入者サービスと、パケットレベルの認証および暗号化を提供する。本発明のアーキテクチャは、既存のローカルエリアネットワーク上でサポート可能であり、仮想事業者（バーチャルオペレータ）が、無線ローカルエリアネットワークのオペレーションを監視することを可能にする。本発明はまた、公衆アクセス無線ローカルエリアネットワークと、その制御およびデータプロトコルを運用する方法も提供する。
【０００３】
【従来の技術】以下、本発明を理解するための適当な基礎を提供するために、いくつかの主題について述べる。
【０００４】インターネットサービスおよび無線技術の急速な発展は、セルラ移動通信システムと、無線インターネットのための無線ＬＡＮ（ＷＬＡＮ：Wireless LAN）アクセスシステムの両方の発展をもたらし、それにより、便利なインターネットアクセスと位置情報依存型(location-sensitive)アプリケーションをユーザに提供している。従来のほとんどのＷＬＡＮアクセスシステムは、会社あるいは大学のネットワークの場合のように私設（プライベート）のものであるか、または、ＷＬＡＮ事業者のサービスへの加入によるものであるかのいずれかである。
【０００５】公衆サービス事業者は、その顧客（カスタマ）によって期待される容量およびパフォーマンスを提供するために、有線および無線の両方で、この種のプライベートネットワーキング（企業ＬＡＮ）に関心を持っている。インターネット音声・映像マルチキャスティングや双方向マルチメディアアプリケーションのような、さまざまな発展しつつあるインターネットアプリケーションのためには、高速および低遅延であることが重要である。公衆セルラ移動通信ネットワークは、屋外３８４ｋｂｐｓ、屋内２Ｍｂｐｓまでのダウンストリームバーストレートを提供するという改良が提案されている第３世代（３Ｇ）移動通信システムの場合でも、この要求を十分に満たすことはできない。これらのレートは、第２世代システムに比べて相当の改善であり、ＭＩＭＯ（多重アンテナ）技術は、スペクトル効率を大幅に増大させる可能性がある。しかし、帯域幅は依然として制限され、スペクトル競売における事業者による巨額の支払いによりコストが高くなる。これは、本質的な問題点である。その理由は、３Ｇ移動通信システムは、２Ｇシステムと同様、予約されたスペクトルにおいて連続的なカバレジを提供することを目標としているからである。システムの容量が投資コストに対してスケーラブルとなる可能性は低い。
【０００６】ＷＬＡＮ技術は、低コスト、かつ、大容量でインターネットアクセスを提供することが可能であり、実際に提供している。この技術は、（後述のように、予約スペクトルにおけるセルラ移動通信マイクロセルを実現することも可能であるが）「フリーな」スペクトルを利用し、スケーラブルであり、有線ネットワークに容易に統合される。規制されていないスペクトルにおけるＷＬＡＮ間の干渉が問題となる可能性がある。スペクトル適合性を施行することは、資産所有者（例えば、ＷＬＡＮを通じての公衆アクセスが重要な事業となる空港やホテル）の義務となる。ＩＥＥＥ８０２．１１システムとＢｌｕｅｔｏｏｔｈ（登録商標、以下同じ）システムとの間の干渉問題は、これらが両方とも１つの資産所有者によってサポートされる場合、ＩＥＥＥ８０２．１５で対処されている。
【０００７】従来のＷＬＡＮホットスポットソリューションは、そのいくつかの制限にもかかわらず、Nokia社のPublic Access Zone、Cisco社のAironet、およびLucent社のORINOCO Public Access Solutionsのような商用無線ＬＡＮ技術を用いた、多くのアプリケーションにとって受容可能なものである。無線事業者には、MobileStar Corporation、WayportおよびNomadixのような会社が含まれる。
【０００８】図１を参照して、従来のＧＳＭセルラ移動通信システムについて説明する。ＧＳＭシステムは、回線交換ネットワークを通じて基地局１０３に接続された移動通信交換センタ（ＭＳＣ）１０２を含む、階層アーキテクチャを有する。移動通信交換センタ１０２は、他の移動通信交換センタや他の基地局（図示せず）に接続されることも可能である。基地局１０３は、基地局コントローラ（ＢＳＣ）１０４と、複数の基地局トランシーバ（ＢＴＳ）１０５−１、１０５−２、１０５−ｎを有する。ただし、ｎは、基地局コントローラ１０４に接続された基地局トランシーバの個数である。移動通信交換センタ１０２は、公衆交換電話ネットワーク（ＰＳＴＮ）インタフェース１０１に接続される。移動通信交換センタ１０２は、ホームロケーションレジスタ（ＨＬＲ）１０６、バーチャルロケーションレジスタ（ＶＬＲ）１０７および端末識別レジスタ（ＥＩＲ：equipment identity register）１０８に接続される。ホームロケーションレジスタ１０６は、認証センタ１０９にも接続される。
【０００９】図１に示されているように、ＧＳＭのデータサービスバージョンであるＧＰＲＳ(Generalized Packet Radio Service)もまた、階層アーキテクチャを使用する。ゲートウェイＧＰＲＳ／３Ｇサポートノード（ＧＧＳＮ）１１０は、ホームロケーションレジスタ１０６およびインターネットインタフェース１１３に接続される。サービングＧＰＲＳ／３Ｇサポートノード（ＳＧＳＮ）１１１は、ゲートウェイＧＰＲＳ／３Ｇサポートノード１１０、ホームロケーションレジスタ１０６および端末識別レジスタ１０８に接続される。ゲートウェイＧＰＲＳ／３Ｇサポートノード１１０およびサービングＧＰＲＳ／３Ｇサポートノード１１１は、パケット交換ドメインにあり、ＩＰマルチメディアサブシステムを有する。サービングＧＰＲＳ／３Ｇサポートノード１１１は、パケット交換ネットワークを通じて基地局１０３に接続される。サービングＧＰＲＳ／３Ｇサポートノード１１１は、パケット交換ネットワークを通じて無線ネットワーク基地局１１２にも接続される。無線ネットワーク基地局１１２は、無線ネットワークコントローラ（ＲＮＣ）１１４と、複数の基地局トランシーバ（ＮＯＤＥ−Ｂ）１１５−１、１１５−ｎを有する。ただし、ｎは基地局トランシーバの個数である。図１に示されるアーキテクチャは、回線交換音声、パケット交換データおよびＩＰマルチメディアトラフィックの集中化されたトラフィックフローを伝送するコアネットワークを提供する。
【００１０】しかし、いくつかの標準化団体やフォーラムは、集中化トラフィックのボトルネックのない、分散ＩＰベースの移動通信システムの概念を受け容れている。ここで注意すべき点であるが、分散されると想定されているのは、移動加入者のルーティングのみである。モビリティ管理、権限付与、認証、アカウンティングおよびディレクトリサービスのような制御機能は、分散されることもされないことも可能である。そのような組織には、３ＧＰＰ−２(Third Generation Partnership Project 2)、ＩＥＴＦ(Internet Engineering Task Force)、ＭＷＩＦ(Mobile Wireless Internet Forum)、および国際電気通信連合（ＩＴＵ）のＩＭＴ−２０００組織がある。
【００１１】図２を参照して、ＩＥＴＦのモバイルＩＰモデルに基づく３ＧＰＰ−２ネットワークアーキテクチャについて説明する。このアーキテクチャには、図１に示したような移動通信システムのためのコアネットワークがない。その代わりに、ホームロケーションレジスタ（ＨＲＬ）２０２およびバーチャルロケーションレジスタ（ＶＬＲ）２０３を有する２Ｇシステム２０１は無線ネットワーク（ＲＮ：radio network）２０４に接続される。無線ネットワーク２０４は、無線リソースコントローラ（ＲＲＣ：radio resource controller）２０６およびパケット制御機能（ＰＣＦ：packet control function）デバイス２０５を有する。２Ｇシステム２０１は、無線リソースコントローラ２０６に接続される。インターネット機器２０７もまた、無線リソースコントローラ２０６に接続されることが可能である。３ＧＰＰ−２アーキテクチャにおける無線ネットワーク２０４は、ＩＰネットワーク２０９（例えば、ＬＡＮ、ＭＡＮまたはＷＡＮ）に接続されたゲートウェイ（ＰＤＳＮ）２０８に直接接続される。ユーザホームネットワーク２１０には、ＩＰネットワーク２０９を通じて到達することができる。さらに、無線ＬＡＮ（ＷＬＡＮ）２１２もまた、第２のゲートウェイ（ＰＤＳＮ）２１１を通じてＩＰネットワーク２０９に接続されることが可能である。非ＩＰ音声トラフィックは、無線リソースコントローラ２０６から公衆交換電話ネットワーク（ＰＳＴＮ）２１３への直接パスを有し、２Ｇ音声ネットワークが３Ｇネットワーク内のエンティティとして管理されるようにしている。
【００１２】さらに、ＩＰに基づくモビリティシステムは、インターネットを通じて、外部のあるいは一時的なセルラ移動通信基地局に、および、ＷＬＡＮに、拡張可能である。ＩＥＥＥ８０２．１１、ＨｉｐｅｒＬＡＮ−２、およびＢｌｕｅｔｏｏｔｈエアインタフェースとともに３ＧエアインタフェースをサポートするＷＬＡＮは、将来、公衆ホットスポットにおいて、および、会社や住居の環境において、ブロードバンドアクセスのために利用される可能性がある。
【００１３】
【発明が解決しようとする課題】現在のＷＬＡＮアクセスサービスの１つの問題点は、ＷＬＡＮへのアクセスが、特定のＷＬＡＮ事業者の加入者に制限されているという点で、公衆アクセスがないことである。もう１つの問題点は、加入者が、単一のアクセスポイントに結びつけられることがあることである。これは、商店街を歩き回りながらインターネットラジオを聴くというようなアプリケーションの妨げとなる可能性がある。もう１つの欠点は、単一のＷＬＡＮエアインタフェースに制限される可能性があり、それにより、セルラ移動通信エアインタフェースを有する機器を含めて、そのＷＬＡＮエアインタフェースがサポートしようとする機器の範囲が縮小されることである。
【００１４】
【課題を解決するための手段】本発明は、上記の状況に鑑み、従来技術の上記の問題点および制限を克服するものである。
【００１５】本発明の第１の側面は、複数のサブネットワークを含む無線ネットワークを提供する。無線ネットワーク内の各サブネットワークは、１つまたは複数のネットワークスイッチを有する。各サブネットワークはさらに、１つまたは複数のエアアクセスポイントを有する。エアアクセスポイントは、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークはさらに、サブネットワーク間の相互接続を提供するために各サブネットワークのネットワークスイッチに接続された、１つまたは複数のルータを有する。無線ネットワークはまた、他の外部ネットワークへの接続を提供するために、複数のサブネットワークに接続された１つまたは複数のゲートウェイルータを有する。
【００１６】本発明の第２の側面は、複数の仮想事業者によって運用される無線ネットワークを提供する。無線ネットワーク内の各サブネットワークは、１つまたは複数のネットワークスイッチを有する。各サブネットワークはさらに、１つまたは複数のエアアクセスポイントを有する。エアアクセスポイントは、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークはさらに、サブネットワーク間の相互接続を提供するために各サブネットワークのネットワークスイッチに接続された、１つまたは複数のルータを有する。無線ネットワークはまた、他の外部ネットワークへの接続を提供するために、複数のサブネットワークに接続された１つまたは複数のゲートウェイルータを有する。本発明の第２の側面は、マルチプロトコルラベルスイッチングを用いてゲートウェイルータと複数のサブネットワークとの間で移動加入者データをルーティングすることによって、各仮想事業者からのサービスへのアクセスを提供する。
【００１７】本発明の第３の側面は、無線ネットワークにアクセスする移動加入者を認証する方法を提供する。移動加入者は、エアアクセスポイントを通じて無線ネットワークにアクセスする。エアアクセスポイントは、エアインタフェースおよびコンピュータを有し、エアアクセスポイントコンピュータは、移動加入者に関連する公開鍵を格納するデータベースサーバに接続される。この方法は、移動端末からエアアクセスコンピュータへ、ユーザ識別番号を有する第１メッセージを送信し、第１符号語を計算し、第１符号語をデータベースコンピュータへ転送するステップを有する。次に、この方法は、データベースコンピュータからエアアクセスポイントコンピュータへ第２符号語を送信し、第２符号語から第１ランダム文字列を抽出し、ユーザ識別番号および第１ランダム文字列を含む第２メッセージを移動端末へ送信する。次に、この方法は、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、および第３符号語を有する第３メッセージを、移動端末からエアアクセスコンピュータへ送信する。次に、この方法は、移動端末から受信された第３メッセージに基づいて第４符号語を計算し、第４符号語をデータベースコンピュータへ送信する。第４符号語を計算した後、この方法は、データベースコンピュータで第５符号語を計算し、第５符号語をエアアクセスコンピュータへ送信する。最後に、この方法は、第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージを、エアアクセスコンピュータから移動端末へ送信する。
【００１８】本発明の第４の側面は、無線ネットワークにアクセスする移動加入者を認証するコンピュータソフトウェア製品である。移動加入者は、エアアクセスポイントを通じて無線ネットワークにアクセスする。エアアクセスポイントは、エアインタフェースおよびコンピュータを有し、エアアクセスポイントコンピュータは、移動加入者に関連する公開鍵を格納するデータベースサーバに接続される。このコンピュータソフトウェア製品は、エアアクセスコンピュータおよびデータベースコンピュータが所定のオペレーションを実行することを可能にするソフトウェア命令と、そのソフトウェア命令を保持するコンピュータ可読媒体とを含む。所定のオペレーションは、移動端末からエアアクセスコンピュータへ、ユーザ識別番号を有する第１メッセージを送信し、第１符号語を計算し、第１符号語をデータベースコンピュータへフォワーディングすることを含む。所定のオペレーションはさらに、データベースコンピュータからエアアクセスポイントコンピュータへ第２符号語を送信し、第２符号語から第１ランダム文字列を抽出し、ユーザ識別番号および第１ランダム文字列を含む第２メッセージを移動端末へ送信することを含む。所定のオペレーションはさらに、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、および第３符号語を有する第３メッセージを、移動端末からエアアクセスコンピュータへ送信し、その後、移動端末から受信された第３メッセージに基づいて第４符号語を計算し、第４符号語をデータベースコンピュータへ送信することを含む。所定のオペレーションはさらに、データベースコンピュータで第５符号語を計算し、第５符号語をエアアクセスコンピュータへ送信し、その後、第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージを、エアアクセスコンピュータから移動端末へ送信することを含む。
【００１９】本発明の第５の側面は、移動通信サービスが複数の仮想事業者によって提供される無線ネットワークを運用する方法を提供する。無線ネットワークは複数のサブネットワークを含み、各サブネットワークは少なくとも１つのネットワークスイッチと、少なくとも１つのエアアクセスポイントを有する。エアアクセスポイントは、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークはさらに、複数のサブネットワークのそれぞれのネットワークスイッチに接続された少なくとも１つのルータと、複数のサブネットワークに接続された少なくとも１つのゲートウェイルータとを有する。この方法は、各サブネットワーク内のエアアクセスポイントと、前記少なくとも１つのゲートウェイルータとの間に複数のマルチプロトコルラベルスイッチングパスを作成するステップを含む。この方法はさらに、仮想事業者が各サブネットワークのエアアクセスポイントを通じてアクセスされることができるように、各マルチプロトコルラベルスイッチングパスを複数の仮想事業者のうちの１つに割り当てるステップと、無線ネットワークを通るデータのパケットヘッダに埋め込まれる識別タグを、複数の仮想事業者のそれぞれに割り当てるステップとを含む。この方法はさらに、無線ネットワークを通るデータパケットのヘッダにマルチプロトコルラベルスイッチング情報を割り当てることにより、サブネットワークのネットワークスイッチが、データパケットのヘッダに基づいてマルチプロトコルラベルスイッチングパスを通じてデータパケットをルーティングすることを可能にする。
【００２０】添付図面は、本明細書と一体をなして本発明のさまざまな側面を例示し、発明の詳細な説明とともに、本発明のさまざまな側面、利点および原理を説明する。
【００２１】
【発明の実施の形態】本発明のさまざまな側面について説明する前に、本発明の理解を容易にし、いくつかの用語の意味を示すために、従来技術に関するいくつかの項目について説明する。
【００２２】本明細書において、「コンピュータシステム」という用語は、可能な限り最広義の意味を包含し、スタンドアローンプロセッサ、ネットワーク接続されたプロセッサ、メインフレームプロセッサ、および、クライアント／サーバ関係にあるプロセッサを含むが、これらには限定されない。「コンピュータシステム」という用語は、少なくともメモリおよびプロセッサを含むように理解されるべきである。一般に、メモリは、いろいろなときに、実行可能プログラムコードの少なくとも一部を格納し、プロセッサは、その実行可能プログラムコードに含まれる命令のうちの１つまたは複数を実行する。
【００２３】理解されるように、「所定のオペレーション」という用語、「コンピュータシステムソフトウェア」という用語、および「実行可能コード」という用語は、本明細書の目的にとって、実質的に同じものを意味する。本発明の実施には、メモリとプロセッサが物理的に同じ場所に位置することは必要でない。すなわち、プロセッサとメモリは、異なる物理的装置に、あるいは、地理的に異なる位置にさえ、ある可能性があることを見越している。
【００２４】本明細書において、当業者には理解されるように、「媒体」あるいは「コンピュータ可読媒体」には、ディスケットあるいはフロッピィディスク、テープ、コンパクトディスク、集積回路、カートリッジ、通信回線を通じてのリモート伝送、あるいは、コンピュータにより利用可能な他の任意の媒体が含まれる。例えば、コンピュータシステムソフトウェアを配布するためには、供給元は、ディスケットを提供することもあり、あるいは、衛星伝送により、直接電話回線により、またはインターネットにより、何らかの形式で、所定のオペレーションを実行するための命令を送信することもある。
【００２５】コンピュータシステムソフトウェアは、ディスケットに「書き込まれる」ことも、集積回路に「格納される」ことも、通信回線を通じて「伝送される」ことも可能であるが、理解されるように、本明細書の目的のためには、コンピュータ利用可能媒体は、所定のオペレーションを実行するための命令を「保持する」と呼ばれる。すなわち、この「保持する」という用語は、所定のオペレーションを実行するための命令がコンピュータ利用可能媒体に関連づけられる上記のすべての等価な方法を包含することを意図している。
【００２６】したがって、簡単のため、「プログラム製品」という用語は、以下では、所定のオペレーションを実行するための命令を何らかの形式で保持する、上で定義したようなコンピュータ利用可能媒体を指すために用いられる。
【００２７】以下、添付図面を参照して、本発明のさまざまな側面の詳細について説明する。
【００２８】従来の仮想（バーチャル）ＬＡＮ（ＶＬＡＮ）は、スイッチＬＡＮ環境における論理的グルーピングおよびブロードキャスト閉じ込めメカニズムである。ＬＡＮ内のスイッチは、グループに属するデバイスをサポートするポートに、ブロードキャスト／マルチキャストイーサーネットフレームをフォワーディングすることによって、論理グループメンバシップを施行する。ＩＥＥＥのＶＬＡＮ標準８０２．１Ｑは、ＩＥＥＥイーサーネットヘッダの４バイトのセクション内に、１２ビットのＶＬＡＮ ＩＤを規定している。８０２．１Ｑを実装するスイッチは、グループメンバシップを判定するために、各イーサーネットフレーム内のＶＬＡＮ ＩＤを調べるだけでよい。
【００２９】本発明のＶＯＬＡＮ（Virtual Operator ＬＡＮ）は、いくつかのＬＡＮセグメントにわたって拡張可能な、リソース共有およびトラフィックエンジニアリングのためのインフラストラクチャである。ＶＯＬＡＮによれば、複数の仮想事業者が、それぞれのユーザグループに、それらのサービスレベル契約にしたがって、独立のＱｏＳサービスを提供することが可能となる。これらの独立のサービスは、本発明が構築される既存のＬＡＮ環境内の既存のローカル移動加入者に提供されるサービスを妨害してはならない。上記のように、ＶＯＬＡＮは、商用ＬＡＮスイッチのＶＬＡＮ機能と、マルチセグメントＬＡＮ環境にわたるマルチプロトコルラベルスイッチング（ＭＰＬＳ）パスの利用との組合せである。
【００３０】本発明は、ネットワーク設備に投資することを必要とせずに、移動加入者にデータアクセスサービスを提供する１つまたは複数の仮想事業者を含む無線ローカルエリアネットワークアーキテクチャである。仮想事業者は、インターネットサービスプロバイダ（ＩＳＰ）や公衆通信キャリアのような第三者サービスプロバイダとともに活動する。本発明のアクセス速度は、ディジタルセルラ（２Ｇ）移動電話ネットワークの比較的低速のインターネットアクセスサービスにまさる。さらに、本発明は、標準的なインターネットおよびウェブアプリケーションを、小画面機器に適した低速バージョン（例えば、ＮＴＴドコモのｉモードサービス）とともに、サポートする。低消費電力インターネット機器は、セルラ移動通信ネットワークにおいてよりも、本発明の環境において、より実現可能性がある。本発明は、複数のＬＡＮセグメントを含むことが可能であり、オフィスビルディング、空港、ホテル、大学、商店街およびその他の大規模地区に設置可能である。本発明は、単に無線アクセスポイントを追加することによって、既存のＬＡＮインフラストラクチャを利用して構築可能であり、それにより、高価な新たなネットワーク配備が避けられる。
【００３１】本発明の物理アーキテクチャは、セルラ移動通信アーキテクチャに特に関連する個々の無線ＬＡＮに関係するのみならず、インターネットに接続し無線アクセスをサポートするように構築された任意のローカル通信インフラストラクチャにも関係する。図３を参照すると、本発明の実施例は、複数のＬＡＮセグメントを含む。あるいは、別の実施例では、本発明は、ケーブルデータシステムのような大都市アクセスネットワーク(metropolitan access network)に接続されることも可能である。本発明の実現において、仮想事業者は、セルラ移動通信事業者を含む（これには限定されない）第三者サービスプロバイダであることが可能である。
【００３２】本発明において、各仮想事業者は、専用ＬＡＮを制御する。専用ＬＡＮは、複数のネットワークセグメントにわたり拡張可能であり、仮想事業者ＬＡＮ（ＶＯＬＡＮ：Virtual Operator LAN）と呼ばれる。ＶＯＬＡＮは、一仮想事業者に属する独立の論理ＬＡＮであり、仮想事業者と公衆アクセスモビリティＬＡＮ（ＰＡＭＬＡＮ：Public Access Mobility LAN）事業者との間で履行されるサービスレベル契約（ＳＬＡ）に基づいて管理される。ＶＯＬＡＮは、安全なトラフィック分離を提供し、サービス品質（ＱｏＳ）サポート付きでトラフィックエンジニアリングがなされることが可能である。例えば、仮想事業者は、異なるレベルの加入ステータスを有する加入者にさまざまなレベルのサービスを提供することが可能である。ＶＯＬＡＮは、基礎となる仮想ＬＡＮ能力と、ＬＡＮ間セグメント機能とから構築される。表１に、ＰＡＭＬＡＮ／ＶＯＬＡＮ／ＶＬＡＮ階層を示す。
【表１】
表１： ＰＡＭＬＡＮ／ＶＯＬＡＮ／ＶＬＡＮ階層
【００３３】関連づけ、認証およびアカウンティング（ＡＡＡ：Associate, Authenticateand Accounting）は、本発明の特徴である。本発明は、サービスプロバイダのネットワークの仮想的拡張となる複数の半信頼アクセスポイントを含む。ここで、「半信頼」(semi-trusted)という用語は次のように定義される。
１．移動加入者のトラフィックをインターネットへ正しくルーティングすることについては信頼される。
２．移動加入者トラフィック内容（例えば、仮想事業者とのビジネス関係を有する特権(franchised)オペレーション）の読み出し、変更、またはなりすましをしないことについては部分的に信頼される。このレベルの信頼は、ローカルインターネットサービスプロバイダ（ＩＳＰ）と同様であり、ほとんどのインターネットブラウジングには十分である。しかし、機密性の高いデータ（例えば、クレジットカード情報、社会保障番号(Social Security Number)、運転者の免許番号）の転送のためには、本発明は、安全なエンドツーエンド転送プロトコル（例えば、ＳＳＬ）使用する。
３．正しいアカウンティング情報を仮想事業者に報告することについては部分的に信頼される。本発明の実施例では、アクセスポイントおよび移動通信機器の両方によるサービス測定が実行される。サービス測定結果は仮想事業者に報告され、サービス測定値は整合性がクロスチェックされる。さらに、本発明の実施例によれば、移動加入者／仮想事業者の認証プロセスのため、移動通信カスタマのなりすましが防止される。この認証プロセスは、アクセスポイントを透過的（トランスペアレント）にする。サービス測定および認証プロセスは、詐欺および紛争の可能性を大幅に低減する。本発明は、在圏移動加入者の認証および権限付与とともに、真正な特権基地局としてのアクセスポイントの認証を使用する。本発明は、仮想事業者をサポートするために、アクセスポイントでのＩＰレベルのＡＡＡサーバ／クライアント機能の実装を容易にする。
【００３４】図３を参照して、本発明による無線ＬＡＮネットワークの実施例について説明する。実施例のネットワークは、複数のアクセスポイント３００−１〜３００−ｎを有する。ただし、ｎは、無線ＬＡＮネットワーク内のアクセスポイントの総数である。アクセスポイントの構成については図４を参照して説明する。各アクセスポイント３００は、イーサーネットスイッチ３０１−１〜３０１−ｍに接続される。ただし、ｍは、無線ネットワーク内のイーサーネットスイッチの総数である。図３R>３に示されるように、イーサーネットスイッチ３０１は２つのアクセスポイント３００に接続される。各イーサーネットスイッチ３０１は、前述の仮想ネットワークおよびＱｏＳサービスを実現する。
【００３５】図３に示されるように、イーサーネットスイッチ３０１とアクセスポイント３００は、２つのＬＡＮセグメントにグループ化される。ＬＡＮセグメント１は、２個のイーサーネットスイッチ３０１を含む。ＬＡＮセグメント２は、１個のイーサーネットスイッチ３０１を含み、これは２個のアクセスポイント３００に接続される。ＬＡＮセグメント１とＬＡＮセグメント２は、セグメント間ゲートウェイルータ３０２を通じて互いに接続される。２つのＬＡＮセグメントの結合は、複数のアクセスポイント間のマイクロモビリティ(micromobility)を提供する。
【００３６】図４を参照して、アクセスポイントについてさらに詳細に説明する。本発明によれば、アクセスポイントは、複数のエアインタフェース３２０、３２１、３２２を有する。実施例は、ＷＬＡＮ基地局（すなわち、ＩＥＥＥ８０２．１１、ＨｉｐｅｒＬＡＮ２、Ｂｌｕｅｔｏｏｔｈ）およびセルラ移動通信基地局（すなわち、ＧＳＭ、ＩＳ−９５、ＩＳ−１３６、３Ｇ）を含むことが可能である。セルラ移動通信音声サービスについて、本発明は、アクセスポイントにおいてＧＰＲＳデータサービス（図示せず）をサポートする。
【００３７】従来のＷＬＡＮシステムでは、基地局はブリッジとして作用する。図４を参照すると、本発明では、アクセスポイントはさらに、移動端末のためにプロキシ機能を実行するＩＰアクセスルータ３１３を有する。このようなプロキシ機能の１つは、アクセスポイント内に存在する任意のエアインタフェースに対する基地局コントローラであることが可能である。このプロキシ機能は、基地局コントローラとして作用して、ＩＰレベルでＩＰゲートウェイ３２５と通信する。ＩＰアクセスルータ３１３は、後述するＡＡＡ機能も実行する。
【００３８】図３を参照すると、本発明では、ＩＰゲートウェイ３２５は、インターネットまたは公衆ネットワークへ向かうトラフィックを伝送し、モバイルＩＰトンネルを終端し、必要に応じてシグナリング変換を実行する。ＩＰゲートウェイ３２５は、実装の必要に応じて、単一のゲートウェイからなることも、複数のゲートウェイを含むことも可能である。シグナリング変換の別法として、カプセル化されたＳＳ７またはＩＳＤＮ制御信号が、Ｈ．３２３、ＳＩＰ、または他のＩＰネットワーク系信号とともに、ＩＰゲートウェイ３２５を通って透過的に伝送されることも可能である。
【００３９】ＩＰゲートウェイ３２５は、さまざまな外部ネットワークと接続されることが可能である。例えば、ＩＰゲートウェイ３２５は、別の移動通信ネットワークまたは公衆交換電話ネットワークに接続されることが可能である。ＩＰゲートウェイ３２５はＩＳＰネットワーク３４０を通じて仮想事業者のサーバ３４１にも接続される。仮想事業者のサーバ３４１上には、後述する認証および暗号化に用いられるエンドユーザ公開鍵のディレクトリ３４２がある。
【００４０】本発明では、複数の仮想事業者に対する複数の地理的ＬＡＮセグメントにわたる論理サービスネットワークを構成するために、仮想事業者ＬＡＮ（ＶＯＬＡＮ）技術が用いられる。各仮想事業者のＶＯＬＡＮ内では、異なるレベルの加入者サービスに対するＱｏＳをサポートすることが可能である。
【００４１】本発明は、各ＰＡＭＬＡＮセグメントのコアであるイーサーネットスイッチに現れる、標準に基づく仮想ＬＡＮおよびＱｏＳ機能を利用する。イーサーネットＭＡＣプロトコルは依然としてＣＳＭＡ／ＣＤであるが、全二重イーサースイッチはコンテンションなしで動作し、８０２．１ｐパケット優先制御および仮想ＬＡＮ（ＩＥＥＥ８０２．１Ｑ）を提供するための新たな標準が導入されている。
【００４２】最後に、セルラＩＰやＨＡＷＡＩＩのような、無線ＬＡＮ環境のための新たなＩＰローカルモビリティプロトコルが、モバイルＩＰのパフォーマンスを改善する。具体的には、これらの新しいプロトコルは、より高速なハンドオフ、より直接的なトラフィックルーティング、および、より分散され、スケーラブルなコネクション制御を提供する。
【００４３】これらの新しいＩＰローカルモビリティプロトコルは、本発明に容易に組み込まれる。図３を参照すると、ＩＰゲートウェイ３２５は、在圏移動加入者に対して相対的に固定アドレスとなる。したがって、ＰＡＭＬＡＮ内部のセグメント間ゲートウェイルータ３０２のみが、あるローカルアクセスポイントから別のローカルアクセスポイントへの移動加入者の移動によるパス変更について通知を受ければよい。この要件さえも、ＭＰＬＳの利用により低減される。このため、本発明によれば、移動通信機器は、ＰＡＭＬＡＮに入るときに動的にＩＰアドレスを取得する。その後、移動通信機器は、地理的ＬＡＮセグメント間を移動する際に新たなＩＰアドレス割当てを必要とせずに、地理的ＬＡＮセグメント（すなわち、ＬＡＮセグメント１およびＬＡＮセグメント２）間で自由にローミングすることができる。
【００４４】公衆インターネットアクセスを提供するためには、必要なプロトコルコンポーネントが、本発明のコアアクセスネットワーク、アクセスポイント、および在圏インターネット機器内の適所におかれなければならない。前述のように、本発明のコアネットワークは、マイクロモビリティ、仮想ＬＡＮおよび動的ホスト構成プロトコル（ＤＨＣＰ）サービスを提供する。
【００４５】図６Ａおよび図６Ｂを参照して、無線機器のプロトコルスタック５０１およびエアアクセスポイントのプロトコルスタック５０２について説明する。アクセスポイントは、ＤＨＣＰプロキシ、分散ＡＡＡのエージェント、パケットのフィルタリングおよびクラシフィケーション、ＱｏＳ制御、ならびにモビリティ管理のような、いくつかのプロトコルコンポーネントをホストする。アクセスポイントはルータに基づくため、これらのＰＡＭＬＡＮ機能は、レイヤ３以上で実装することが可能であり、無線ＭＡＣプロトコルの変更を必要としない。本発明のルータアプローチはまた、移動通信機機内のプロトコルスタックへの変更も不要である。代わりに、本発明は、既存のプロトコルコンポーネント（例えば、ＤＨＣＰクライアント、ＩＰＳｅｃ）に基づき、あるいは、アプリケーションレイヤ（例えば、認証セッション）内に実装される。本発明は、アクセスポイントにおいてＭＰＬＳと仮想ＬＡＮ（ＶＬＡＮ）を組み合わせることにより、ＰＡＭＬＡＮＱｏＳおよびモビリティ機能をサポートする仮想事業者ＬＡＮを形成する。
【００４６】本発明が単一のスイッチＬＡＮとして実装されるとき、ＶＯＬＡＮは単に、割り当てられたＶＬＡＮ ＩＤをＶＯＬＡＮのすべてのトラフィックにタグ付け（タギング）することによって、ＶＬＡＮとして実装される。移動加入者に対するＱｏＳプロビジョニングは、８個のフレーム優先順位を区別するために、ＩＥＥＥ８０２．１ｐヘッダ、すなわち、ＩＥＥＥ８０２．１Ｑヘッダに埋め込まれた３ビットセクションを用いて実装することができる。
【００４７】しかし、複数のルータが複数のサブネットワークを相互接続する大規模な実装では、ＶＬＡＮのみではもはやＶＯＬＡＮプロビジョニングには十分でない。このような環境では、ＶＯＬＡＮは、ゲートウェイルータによって接続されたＶＬＡＮのチェインとして実装することができる。これらのルータは、パケットをサブネットワークにフォワーディングするときに、仮想事業者パケットをＶＬＡＮタグにマップすることにより、ＶＯＬＡＮコヒーレンス（整合性）を維持する。ゲートウェイルータはレイヤ３で作用するため、パケットがサブネットワーク間をわたるときに、レイヤ２ヘッダからのすべてのＶＬＡＮ情報は失われる。したがって、ルータが、隣り合うサブネットワーク間のＶＬＡＮマッピングテーブルを維持することは不可能である。代わりに、ルータは、送信元および宛先のＩＰアドレスのようなレイヤ３情報を利用して、パケットのＶＯＬＡＮメンバシップを判定しなければならない。
【００４８】しかし、このアプローチにはいくつかの問題点がある。特に、ＶＬＡＮマッピング判定を行うためには、ＰＡＭＬＡＮ内のすべての中間ルータが、アクティブな移動加入者のすべてのＩＰアドレス（少なくともアドレスプレフィクス）を保持しなければならない。さらに、ＩＰルーティングがホップ単位で行われるという性質のため、相異なるＶＯＬＡＮに対するサービスプロビジョニングを効果的に管理し提供することは困難である。これらの理由により、本発明は、ＶＯＬＡＮプロビジョニングのために、ＶＬＡＮとともにＭＰＬＳを利用する。
【００４９】ＭＰＬＳは、すべての中間ルータをＶＯＬＡＮの詳細から隠蔽しながら、アクセスポイントおよびインターネットゲートウェイがＶＯＬＡＮプロビジョニングを処理する、簡単で効率的なソリューションを提供する。本発明では、ＭＰＬＳとＶＬＡＮを組み合わせることにより、エレガントなＶＯＬＡＮソリューションを提供する。本発明によれば、各ＬＡＮセグメント内では、仮想事業者ごとのトラフィックをグループ化するためにＶＬＡＮが使用される。ＰＡＭＬＡＮ全体では、ルーティングパスを設定し各ＶＯＬＡＮのプロビジョニングを行うためにＭＰＬＳが使用される。
【００５０】マルチプロトコルラベルスイッチング（ＭＰＬＳ）は、その名称が示すように、多くのリンクレイヤプロトコル上でさまざまなコネクションレス型ネットワークレイヤプロトコルに対するコンバージェンスレイヤを提供するために設計されたプロトコルである。そのもともとの目的は、ＩＰ ｏｖｅｒ ＡＴＭやフレームリレーの場合にパケットフォワーディングの効率および速度を増大させることであったが、実際にはトラフィックエンジニアリングを容易にすることが有望であるために盛んに利用される。ＭＰＬＳは、コネクションレス型レイヤ３トラフィックをトラフィックエンジニアリングがなされたトンネル（ＭＰＬＳの用語では、ＬＳＰ(Label Switched Path)）へと編成することによってこれを実現する。パケットがＭＰＬＳドメインに入る前に、ＬＳＰに対するローカル識別子として作用するように、ラベルスタックがそのネットワークレイヤヘッダの前に挿入される。ＭＰＬＳルータは、ラベルスイッチングルータ（ＬＳＲ：Label Switching Router）と呼ばれ、ＬＳＰの両端にある２つのルータはそれぞれ入口ＬＳＲおよび出口ＬＳＲと呼ばれる。パケットは、複数のＦＥＣ(Forwarding Equivalence Class)に振り分けられる。実際の必要に応じて、ＦＥＣは、異なるグラニュラリティで分類されることが可能である。例えば、１つのアドレスプレフィクスが１つのＦＥＣに対応することも可能であり、また、送信元アドレス／ポート番号と宛先アドレス／ポート番号の組合せが、２つのエンドポイント間のすべてのトラフィックを１つのＦＥＣとして指定するために使用されることも可能である。どのＬＳＲにおいても、同じＦＥＣに属する入トラフィックは均等に扱われる。すなわち、同じラベルを有する同じインタフェースへ送出される。入口ルータでは、パケットには、それが属するＦＥＣに従ってラベルが割り当てられる。ラベルづけされたパケットがＬＳＰに沿って中間ルータに到着すると、ラベルスワッピングと呼ばれるプロセスが実行される。すなわち、パケット内のラベルがまず抽出され、（入力ポート，入力ラベル）の対が、（出力ポート，出力ラベル）の対にマップされる。その後、入力ラベルは、ＭＰＬＳパケット内の出力ラベルで置き換えられ、パケットは出力インタフェースへ送出される。このプロセスは、パケットが出口ルータに到達するまで繰り返される。出口ルータで、ＭＰＬＳラベルはパケットから取り外され、パケットは通常のレイヤ３フォワーディングによりフォワーディングされる。ラベルマッピングの目的のために、ＮＨＬＦＥ(Next Hop Label Forwarding Entry)がＬＳＲで使用される。各ＮＨＬＦＥは、出力インタフェースと、ラベルスタックに対する作用と、オプションとして、パケットを伝送するためのレイヤ２カプセル化とを含む。入口ＬＳＲでは、ラベル作成のためにＦＴＮ(FEC-To-NHLFE)マップが使用される。それぞれの中間ＬＳＲでは、入力ラベルマップ（ＩＬＭ：Incoming Label Map）が入力ラベルを対応するＮＨＬＦＥに変換して、これによりＭＰＬＳパケットを変換する。
【００５１】ＭＰＬＳドメインでは、パケットは、ドメイン内へのその入口ポイントでラベルがタグ付けされ、ドメイン内ではそのラベルを使用することによりフォワーディングされる。出口ポイントでは、ラベルは取り外され、パケットはそのもとの形に戻る。実際には、入口ポイントと出口ポイントの間でのパケットの伝送のために、これらの２つのポイントの間にＬＳＰが設定される。トンネリング効果のため、移動端末宛のＩＰパケットのためのフォワーディング判定を行うには、中間のルーティングテーブルを使用することはもはや不要である。
【００５２】移動端末にとって、そのアクセスポイントは、ＰＡＭＬＡＮ内へのそのエントリポイントであり、ゲートウェイは、インターネット内へのそのエントリポイントである。そのトラフィックのほとんどは、これらの２つのポイント間と、移動端末間の通信のためのＰＡＭＬＡＮ内のアクセスポイント間を移動する。ＰＡＭＬＡＮ内でＭＰＬＳがサポートされる場合、ＰＡＭＬＡＮ全体を単一のＭＰＬＳドメインとみなすことができる。ゲートウェイおよびアクセスポイントは自然に、移動端末トラフィックに関して、（トラフィックの方向に応じて）入口および出口ポイントとなる。移動端末はそのアクセスポイントをＭＰＬＳドメイン内へのエッジＬＳＲとして使用するため、ドメイン内の中間ルータは、ラベルフォワーディングテーブルを設定するときに、どの移動端末をも知る必要がない。これにより、中間ルータは、アクセスポイントとゲートウェイに対するラベルバインディングを設定するだけでよいことになるため、移動端末が異なるアクセスポイントに移動したときに中間ルータ内のラベルテーブルを更新することが不要になる。
【００５３】図１１は、移動通信サービスが複数の仮想事業者によって提供されるＰＡＭＬＡＮネットワークを運用する例示的な方法を示す例示的な流れ図である。前述のように、ＰＡＭＬＡＮネットワークは複数のサブネットワークを有し、各サブネットワークは１つまたは複数のネットワークスイッチを有する。サブネットワーク内のエアアクセスポイントは、エアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。サブネットワーク間の通信は、各サブネットワークのネットワークスイッチに接続されたルータによって実現される。ネットワークの外部へのアクセスは、サブネットワークに接続されたゲートウェイルータを通じて実行される。Ｓ２００で、各サブネットワーク内のエアアクセスポイントとゲートウェイルータとの間の複数のＭＰＬＳパスが作成される。Ｓ２１０で、仮想事業者が各サブネットワークのエアアクセスポイントを通じてアクセスされることが可能となるように、ＭＰＬＳパスが複数の仮想事業者のうちの１つまたは複数に割り当てられる。したがって、複数の仮想事業者が１つのエアアクセスポイントを通じてアクセスされることも可能であり、あるいは、与えられたアクセスポイントを通じてアクセスされるのは１つの仮想事業者だけであることも可能である。Ｓ２２０で、各仮想事業者に識別タグが割り当てられ、その識別タグは、無線ネットワークを通るデータのパケットヘッダに埋め込まれる。Ｓ２３０で、ＭＰＬＳ情報が、無線ネットワークを通るデータパケットのヘッダに付加される。これにより、サブネットワークのネットワークスイッチは、データパケットのヘッダに基づいてＭＰＬＳパスを通じてデータパケットをルーティングすることが可能となる。
【００５４】図５は、マイクロモビリティをサポートするためにＰＡＭＬＡＮにおいてＭＰＬＳがどのように使用されるかを示すための、ＰＡＭＬＡＮ４０１の概略図である。移動端末４０８は、ＰＡＭＬＡＮ４０１に入ると、アクセスポイント４０４（アクセスポイント1と表す）と関連づけられ、ＤＨＣＰを通じてＩＰアドレス（ＩＰmtと表す）が動的に割り当てられる。このようなアドレスは、ＰＡＭＬＡＮ４０１内の移動端末のために予約されたアドレスのプールから割り当てられる。このアドレス割当ての直後に、アクセスポイント４０４は、ＰＡＭＬＡＮ内の他のすべての境界ルータ４０２に対して、この新しい移動端末について（したがってそのＩＰアドレスを）通知する。その後、ＩＰゲートウェイ４０２およびアクセスポイント４０３、４０４は、それに従って、それらのＦＴＮ(FEC-To-NHLFE)マップを更新する。各移動端末ＩＰアドレスは、これらのマップにおいて新しいＦＥＣに対応する。境界ルータでＦＴＮマップを正しく更新するために、次の手続きが使用される。１．マップ内にＩＰmtのエントリがまだ存在しない場合、新規作成する。２．マップ内でアクセスポイント1のエントリを検索し、そのＮＨＬＦＥをＮＨＬＦＥ1と表す。３．ＩＰmtのエントリのＮＨＬＦＥ部分をＮＨＬＦＥ1に更新する。
【００５５】このようにして、ゲートウェイ４０２またはアクセスポイント４０３、４０４は、移動ホスト宛のパケットを受信すると、自己のＦＴＮマップをチェックし、アクセスポイント４０４（アクセスポイント1）へのものと同じＬＳＰ４０６に対応するラベルを選択する。こうして、ラベル付けされたパケットは、ラベル変換のみによって、ルーティングなしで、中間ルータによりアクセスポイント４０４（アクセスポイント1）へフォワーディングされることが可能となる。このことは、中間ルータが移動端末４０８の位置について知らなくてもパケットが正しくフォワーディングされることを保証する。パケットがアクセスポイント４０４（アクセスポイント1）に到達すると、ラベルは取り外され、アクセスポイント４０４は、通常のＩＰパケットを移動端末４０８へフォワーディングする。
【００５６】移動端末４０８が新たなアクセスポイント４０３に移動すると、同じ手続きに従って、ゲートウェイ４０２および他のアクセスポイント４０３、４０４内のＦＴＮマップを更新する。しかし、１つの相違点は、移動端末４０８についての一部のパケットが、この移行期間中に、すなわち、ＦＴＮマップがゲートウェイ４０２または他のアクセスポイントで正しく更新される前に、前の（旧）アクセスポイント４０４へフォワーディングされる可能性があることである。実際にはＭＰＬＳがこの問題点を解決するのを助ける。更新手続きに従って、移動端末４０８が新アクセスポイント４０３に再関連づけされた後、旧アクセスポイント４０４のＦＴＮマップは、移動端末４０８宛のすべてのパケットを新アクセスポイント４０３へフォワーディングするように変更される。こうして、パケットは、移行期間中に誤って旧アクセスポイント４０４へフォワーディングされても、直ちに新アクセスポイント４０３へフォワーディングされる。
【００５７】現在のＭＰＬＳ配備では、ＭＰＬＳ隣接ルータは通常ポイントツーポイントコネクションを有するため、ＭＰＬＳフォワーディングプロセスは、各パケットについて、出力インタフェースおよび新たなラベルを決定するだけでよい。その場合、パケットは、出力インタフェースを通じて接続された隣接ルータへ送られることになる。したがって、ＩＬＭマップ内の各エントリは、（入力ラベル，入力ポート）の対を（出力ラベル，出力ポート）の対にマップする。ＰＡＭＬＡＮ環境では、隣接ルータは、スイッチイーサーネットＬＡＮを通じて接続されることがある。このため、物理ポートは、隣接ルータを識別するにはもはや不十分である。このような場合、各ＮＨＬＦＥは、物理インタフェースに加えて、隣接ルータのＭＡＣアドレスを含む。ルータがＭＰＬＳパケットを受け取ると、まず入力ラベルが出力ラベルで置き換えられる。その後、ＩＬＭ内にあるＭＡＣアドレスを含むイーサーネットヘッダがパケットに付加されてイーサーネットフレームを形成し、出力インタフェースを通じてイーサーネットＬＡＮへ送出される。
【００５８】図７を参照して、２つのＶＯＬＡＮを有する３セグメントＬＡＮの場合の、本発明による例示的なアーキテクチャについて説明する。図７において、ＶＯＬＡＮ１は、アクセスポイントルータからＰＡＭＬＡＮゲートウェイルータへの３つのＭＰＬＳパスを有し、ＶＯＬＡＮ２は４つのＭＰＬＳパスを有する。ＬＡＮセグメント１（６０２）は、いくつかのエアアクセスポイントを有する。ＬＡＮセグメント２（６０１）は、イーサーネットスイッチのみを有するように図示されているが、ＬＡＮセグメント２（６０１）はいくつかのエアアクセスポイントを有することも可能である。ＬＡＮセグメント３（６００）は、イーサーネットスイッチのみを有するように図示されているが、ＬＡＮセグメント３（６００）はいくつかのエアアクセスポイントを有することも可能である。セグメント間ゲートウェイルータ６１１、６１３は、ＬＡＮセグメント１、ＬＡＮセグメント２およびＬＡＮセグメント３を互いに接続する。２つのＰＡＭＬＡＮゲートウェイルータ６１０、６１２は、ＬＡＮセグメント２およびＬＡＮセグメント３のイーサーネットスイッチに接続される。ＶＯＬＡＮ１は、ＬＡＮセグメント２（６０１）を通って設けられＬＡＮセグメント１（６０２）内のエアアクセスポイントに到達する３つのＭＰＬＳパス（すなわちトンネル）を有する。ＬＡＮセグメント１（６０２）内では、ＭＰＬＳパスは、ＬＡＮセグメント内に設けられたエアアクセスポイントの一部（しかし全部ではない）に分布する。イーサーネットスイッチは、さまざまなエアアクセスポイントへのＭＰＬＳパスを実現する。図７に示されるように、１つのＶＯＬＡＮの複数のＭＰＬＳパスが単一のエアアクセスポイントへルーティングされることも可能であり、また、複数のＶＯＬＡＮの複数のＭＰＬＳパスが単一のエアアクセスポイントへルーティングされることも可能である。また、異なるゲートウェイルータからの複数のＭＰＬＳパスが単一のＬＡＮセグメント内に集められることも可能である。図７に示されるように、ＶＯＬＡＮ２の２つのＭＰＬＳパスは、１つのゲートウェイルータ６１２を通じてルーティングされ、ＶＯＬＡＮ２の他の２つのＭＰＬＳパスは、別のゲートウェイルータ６１０を通じてルーティングされる。ＬＡＮセグメント２（６０１）において、４つのＭＰＬＳパスが集められ、セグメント間ゲートウェイルータ６１３を通じてＬＡＮセグメント１（６０２）へルーティングされる。
【００５９】図７におけるクラウド（雲状の表示）は、ルータを通じて相互接続されるサブネットワークである。これらは、スペースが限られているために小さいサイズで描かれているだけであって、実際には、これらのサブネットワークは、多数のＶＬＡＮにグループ化された数百のノードを有して、相当大規模かつ複雑になることもある。隣接ルータどうしは、それらの両方が属するクラウド（サブネットワーク）を通じて互いに接続される。図７からわかるように、ＶＯＬＡＮは、相互接続するルータによって、あるクラウドから別のクラウドにマップされる。
【００６０】ＭＰＬＳを使用することにより、ＶＯＬＡＮ管理をＰＡＭＬＡＮの「境界」で限界づけることが可能となる。ＶＯＬＡＮの存在について知っている必要があるのはインターネットゲートウェイおよびアクセスポイントだけである。中間のＰＡＭＬＡＮルータにおけるルーティング機能の変更なしに組織的な方法で移動加入者トラフィックを伝送するように、ＭＰＬＳトンネルがそれらのＶＯＬＡＮの間に形成される。これらのルータは、ＭＰＬＳラベルのみを検査する。ＭＰＬＳラベルは、送信元と宛先の境界ルータ間のＶＯＬＡＮパスに関する情報を運ぶ。
【００６１】本質的に、ＶＯＬＡＮサポートのためにＭＰＬＳを利用することは、マイクロモビリティサポートの場合と非常に類似しており、両方のソリューションはＰＡＭＬＡＮに容易に統合することができる。いずれの場合も、ＭＰＬＳパスは、ＭＰＬＳドメインの入口および出口ＬＳＲとして作用する境界ルータ間で設定される必要がある。しかし、次のようないくつかの注目すべき相違点がある。１．各ＦＥＣは、もはやＩＰアドレスプレフィクスのみでは識別されず、（ＩＰアドレスプレフィクス，ＶＯＬＡＮ ＩＤ）の対によって識別される。このことは、２つの境界ルータの間で複数のＬＳＰが確立されることが必要とされる場合があることを意味し、その場合、各ＬＳＰは１つの仮想事業者に属するトラフィックを伝送する。２．境界ルータでは、移動端末のＦＴＮエントリが、その関連するアクセスポイントおよびその現在の仮想事業者に従って決定される。移動端末アドレスをその対応する仮想事業者に容易にマップするため、ＤＨＣＰサーバは、仮想事業者ごとにＩＰアドレスを割り当てるべきである。なお、移動端末は、複数のＶＯＬＡＮ（複数の仮想事業者）に属する可能性もある。このような場合、各インタフェースに１つのＩＰアドレスを割り当て、異なるインタフェースを用いて異なるＶＯＬＡＮメンバシップを識別することも可能である。３．中間ルータでは、ＩＬＭの各エントリに含まれる仮想ポートを、ＶＬＡＮタグで拡張する必要がある。このタグは、次の隣接ルータに到達するために、パケットの送り先のスイッチイーサーネットＬＡＮ内の仮想事業者を識別する。
【００６２】アクセスポイントでは、各移動加入者パケットは、仮想事業者メンバシップおよび所望のＱｏＳクラスに基づいてＦＥＣ(Forwarding Equivalence Class)にマップされる。ＦＥＣ情報を運ぶＭＰＬＳラベルがパケットに挿入され、各ＶＬＡＮ内の８０２．１ｐ優先順位とともにＶＬＡＮ割当てを決定するために、ＭＰＬＳパス上のラベルスイッチルータ（ＬＳＲ）によって使用される。ＰＡＭＬＡＮと複数の仮想事業者との間のサービス契約に従って、アクセスポイントとインターネットゲートウェイの間で、トラフィックエンジニアリングがなされたパスが設定されることが可能である。
【００６３】本発明によって移動加入者が無線サービスにアクセスしようとするとき、アクセスポイントは、移動加入者が無線サービスにアクセスする権限を有し、提供した無線サービスに正しく課金することができることを確認しなければならない。同時に、移動加入者は、ＰＡＭＬＡＮが信頼（または半信頼）可能であり、移動加入者のサービスプロバイダによって証明を受けていることを確認しなければならない。本発明によれば、移動加入者のサービスプロバイダは、ＰＡＭＬＡＮ内で仮想事業者特権(franchise)を有する。さらに、移動加入者およびＰＡＭＬＡＮは両方とも、それらの間の伝送が安全であること、および、誰も無権限のアクセスを得るために移動加入者の識別を偽造することができないことを確認しなければならない。
【００６４】本発明は、上記の点を解決するセキュリティフレームワークを提供する。このセキュリティフレームワークの実施例では、次の４つの主要なコンポーネントが提供される。
１．移動加入者と仮想事業者の間でのＲＡＤＩＵＳ(Remote Authentication Dial-In User Service)を通じた相互認証。アクセスポイントはＲＡＤＩＵＳクライアントとして作用する。仮想事業者のＲＡＤＩＵＳサーバもまたアクセスポイントに証明を与え、移動加入者とアクセスポイントが適当なレベルの相互信頼を得られるようにする。
２．移動加入者とアクセスポイントの間の、公開鍵に基づく安全なチャネルの確立。各移動加入者は、仮想事業者により管理されるディレクトリ内に公開鍵を有する。移動加入者（およびアクセスポイント）の認証後、仮想事業者はこの鍵をアクセスポイントへ送る。すると、アクセスポイントはセッション鍵を生成し、移動加入者の公開鍵を用いてセッション鍵を暗号化し、暗号化されたセッション鍵を移動加入者へ送る。
３．認証されたセッションのためのパケットごとの暗号化。いったん移動加入者がセッションごとの鍵を取得すると、すべての移動加入者トラフィックは、ＩＰＳｅｃを用いてＩＰレイヤで、または、移動通信機器とアクセスポイントの両方におけるレイヤ２プロトコル実装（例えば、ＩＥＥＥ８０２．１１）がセッションごとの鍵をサポートしている場合にはハードウェア暗号化を用いてレイヤ２で、暗号化される。
４．移動通信機器からのトラフィックを制御するための、アクセスポイントにおけるフィルタリング機能。アクセスポイントは、各パケットをフィルタリングし、パケットを通過させるべきか（セッション鍵で認証されたユーザトラフィック）、認証エンジンへ送るべきか（ログインセッショントラフィック）、それとも、ブロックすべきか（無権限のトラフィック）を判定する。このフィルタリング機能は、ＶＬＡＮ割当ておよびＱｏＳ制御のような他の多くの目的のために用いられる基本構成ブロックである。
【００６５】本発明の認証方式は、Cisco、Microsoft、Intel、SymbolおよびInformed Technologyにより提出されたＩＥＥＥ８０２．１１草案(draft proposal)におけるものと類似している。しかし、ＩＥＥＥ８０２．１１草案とは異なり、本発明のセキュリティフレームワークは、純粋にＩＰベースのソリューションを使用する。ＩＥＥＥ８０２．１１草案は、ＩＥＥＥ８０２．１ｘポートに基づく認証方式を使用し、これは、ＩＥＥＥ８０２．１１および８０２．１ｘの両方の標準への多少の変更を必要とする。
【００６６】本発明のＩＰベースのセキュリティフレームワークは、レイヤ２プロトコル（これは通常、ハードウェアに組み込まれており、変更は容易でない）を変更することを必要とせずに、相異なる無線技術にわたって動作する。ＩＰベースのセキュリティフレームワークにより、アクセスポイントは、それぞれ独自のＡＡＡ方式を有する可能性のある相異なるベンダからの無線インタフェースカードとの相互運用が可能となる。相互運用性（インターオペラビリティ）に必要なことは、必要なアプリケーションレベルの認証ソフトウェアを無線機器にインストールすることだけである。
【００６７】本発明では、移動通信機器は、オープンな認証を通じてアクセスポイントと関連づけられる。その後、アクセスポイントは、移動通信機器にＤＨＣＰにより動的ＩＰアドレスを割り当てるとともに、割り当てられたＩＰアドレスに対するフィルタをインストールする。この動的ＩＰアドレスからのすべてのＩＰトラフィックはまずアクセスポイントフィルタによって終端されてから認証エンジンに送られる。ＩＰスタックが移動通信機器に正しく設定された後、移動加入者は、アクセスポイントを通じて自己のサービスプロバイダ（仮想事業者）とのログインセッションを開始する。サービスプロバイダがＰＡＭＬＡＮと提携契約を結んでいる場合、アクセスポイントは、ＲＡＤＩＵＳサーバとして作用して、仮想事業者のＲＡＤＩＵＳサーバとのＲＡＤＩＵＳセッションを開始することができる。チャレンジ／レスポンス方式を使用し、アクセスポイントをリレーエージェントとして利用することにより、移動加入者とサービスプロバイダのＲＡＤＩＵＳサーバは、ＲＡＤＩＵＳプロトコルメッセージ交換を通じて相互に認証する。
【００６８】図８を参照して、移動加入者とサービスプロバイダのＲＡＤＩＵＳサーバとの間の認証シーケンスの実施例について説明する。このような相互認証の結果、移動加入者とアクセスポイントは、サービスプロバイダ契約に関して相互に信頼することができるようになる。この保証があると、アクセスポイントは、サービスプロバイダに対して、移動加入者の公開鍵および加入ステータスを含む移動加入者のプロファイルを送るよう要求することができる。公開鍵は、移動加入者にセッション鍵を安全に通知するために使用される一方、プロファイル内の他のすべてのパラメータは、移動加入者トラフィックに対して仮想事業者のアクセスおよびＱｏＳのポリシーを施行するために使用される。
【００６９】図８、図９および図１０を参照して、認証プロセスについてさらに詳細に説明する。Ｓ１００で、移動端末は、ユーザ識別番号（ＵＩＤ）を有する第１メッセージをエアアクセスコンピュータに送る。第１メッセージを受信すると、Ｓ１１０で、エアアクセスコンピュータは第１符号語を計算し、この第１符号語をデータベースコンピュータへ転送する。関数Ａ（ＵＩＤ，Ｋｒｃ）は、エアアクセスコンピュータとデータベースコンピュータの間で共有されている秘密鍵（Ｋｒｃ）を用いて、メッセージＵＩＤの認証暗号化から符号語を生成する。次に、Ｓ１２０で、仮想事業者サーバのデータベースコンピュータは、第２符号語をエアアクセスポイントコンピュータへ送る。第２符号語は、認証暗号化関数Ａ（（ＵＩＤ，Ｓ１，Ｅ（Ｅ（Ｓ１，Ｋｍｕ），Ｋｒｃ）），Ｋｒｃ）から得られる。ただし、Ｓ１は移動加入者によって生成されたランダムストリングであり、Ｋｍｕは移動ユーザとデータベースコンピュータの間で共有されている秘密鍵であり、Ｋｒｃはエアアクセスコンピュータとデータベースコンピュータの間で共有されている秘密鍵である。次に、Ｓ１３０で、この認証方法は、第２符号語から第１ランダム文字列Ｓ１を抽出し、ユーザ識別番号ＵＩＤおよび第１ランダム文字列Ｓ１を含む第２メッセージを移動端末へ送る。Ｓ１４０で、移動端末は、ユーザ識別番号ＵＩＤ、第１ランダム文字列Ｓ１、第２ランダム文字列Ｓ２、および第３符号語を有する第３メッセージをエアアクセスコンピュータへ送る。第３符号語は、第１ランダム文字列Ｓ１および共有鍵Ｋｍｕのセキュリティ暗号化から得られる。Ｓ１５０で、エアアクセスコンピュータは、移動端末から受信された第３メッセージに基づいて、第３メッセージおよび共有鍵Ｋｒｃのセキュリティ暗号化を用いて第４符号語を計算し、この第４符号語をデータベースコンピュータへ送る。Ｓ１６０で、データベースコンピュータは、ユーザ識別番号ＵＩＤ、第１ランダム文字列Ｓ１、共有鍵Ｋｒｃ、共有鍵Ｋｍｕおよび移動加入者の公開鍵Ｐｋｍｕを用いて第５符号語を計算する。データベースコンピュータは、この第５符号語をエアアクセスコンピュータへ送る。Ｓ１７０で、エアアクセスコンピュータは、第２ランダム文字列Ｓ２および移動加入者の公開鍵Ｐｋｍｕのセキュリティ暗号化を用いて第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージを移動端末へ送る。
【００７０】認証およびセッションごとの鍵の確立が成功した後、移動加入者は、ＰＡＭＬＡＮを用いて、公衆インターネットやローカルリソース（例えば、印刷サービス、一時記憶スペースおよびキャッシュサービス）にアクセスすることができる。アクセスポイントにおけるフィルタリング機能は、ユーザアクセスを制御し豊富な機能ポリシーのセットを施行する際に重要な役割を果たす。
【００７１】本発明によって提供される最も基本的なアクセスポリシーは、認証された移動通信機器ＩＰアドレスを、対応するセッション鍵にマップする、パケットごとの認証／暗号化ポリシーである。この対応するセッション鍵は、移動通信機器からのＩＰパケットを認証あるいは復号するために使用される。移動加入者のプロファイルには、移動加入者によって設定されるセキュリティレベルが格納される。移動加入者のプロファイル内のセキュリティのレベルに応じて、移動加入者パケットは、単にＩＰＳＥＣ認証ヘッダを用いて認証されることが可能となる。ＩＰＳＥＣ認証ヘッダは、パケット全体およびセッション鍵にわたる符号語を生成し、その結果をＩＰＳＥＣ認証ヘッダに付加することによって、移動加入者パケットを認証する。認証された移動通信機器のみが、セッション鍵をアクセスポイントと共有し、正しい認証ヘッダを生成することができるため、安全なパケットごとの認証を実行することができる。
【００７２】本発明のパケットごとの認証／暗号化ポリシーは、無権限の移動加入者がＰＡＭＬＡＮアクセスを得るために別の移動加入者のＩＰアドレスを騙るという偽造識別攻撃を防止するのに十分である。しかし、パケットごとの認証／暗号化ポリシーは、パケット内容のセキュリティを保護しない。移動加入者が盗聴(eavesdropping)を心配する場合、本発明は、ＩＰＳＥＣカプセル化セキュリティペイロード（ＥＳＰ）を用いてＩＰペイロードを暗号化する。別法として、本発明は、エンドツーエンドアプローチ（例えば、セキュアソケット）も使用する。
【００７３】本発明によりサポートされるその他のポリシーには、（１）権限のあるサービスプロバイダとの一定のタイプの加入契約のみへのアクセスを提供すること、（２）広告付きで無料アクセスを提供すること、（３）特定のインターネットサイトへのアクセスを排除すること（すなわち、保護者機能(parental control)）、（４）サービスプロバイダのＱｏＳ制限を強制すること（例えば、アクセスレートへの制限）、がある。
【００７４】トラフィックフィルタリング機能の助けを借りて、本発明は、ユーザごとのアカウンティング情報も収集も行う。一実施例では、アクセスポイントが、ユーザごとのアカウンティング情報を収集し、収集した情報を仮想事業者（すなわち、サービスプロバイダ）のＲＡＤＩＵＳサーバに送る。アカウンティング情報は、セッション継続時間、要求されたサービスの詳細なリスト、訪問されたサイトの詳細なリスト、全セッション継続時間、および、提供されたサービスのレベルを含むことが可能である。最も正確なアカウンティング情報を取得するためには、サービスプロバイダは、自己のロケーション、または、インターネット内の信頼されるエンティティのロケーションを通じて、すべての移動加入者トラフィックをルーティングしなければならないことになる。
【００７５】別法として、さまざまな加入契約に対応する、次のようないくつかのローカルに動作するメカニズムを使用することも可能である。
１．定額制： ＰＡＭＬＡＮ事業者は、仮想事業者に属する移動加入者に無制限のアクセスを提供するために、定額料金を各仮想事業者に課金する。その場合、仮想事業者は、各移動加入者に毎月定額料金を課金する。ゆるやかなアカウンティング方式が使用される。例えば、アクセスポイントのみが移動加入者トラフィックを追跡して定期的に仮想事業者に報告する。
２．セッションごと： 仮想事業者は、移動加入者のログインおよびサインオフの証明で満足する。
３．従量制： 移動加入者は、自己の移動通信機器がＰＡＭＬＡＮ上で生成した実際のトラフィックについてのみ課金される。紛争の可能性を避けるため、仮想事業者は、移動加入者およびアクセスポイントが同じトラフィック使用量を測定した証拠に対して、ディジタル署名（認証）しておかなければならない。
【００７６】複数のサブネットワークを有する本発明の大規模な実装では、モビリティ管理が重要な問題となる。本発明はレイヤ３インフラストラクチャとして作用するため、特に動的パスルーティングや高速ＡＡＡハンドオフのようなモビリティ要求は、ＩＰレイヤでサポートされなければならない。
【００７７】マイクロモビリティとは、ＰＡＭＬＡＮ環境内でのローミングを指す。ローカルな移動しかなされないときには、インターネットを通じて移動加入者のホームロケーションへリルーティングする完全なモバイルＩＰ手続きに従う必要はない。
【００７８】セルラＩＰは、複数のルータ型アクセスポイントおよび単一のインターネットゲートウェイを有するＬＡＮ環境においてマイクロモビリティをサポートするために設計された。移動通信機器が移動してその関連するアクセスポイントを変更すると、ルーティング更新メッセージが移動通信機器から新たなアクセスポイントを通じてインターネットゲートウェイへ送られる。経路上の各ルータは、アクセスポイントやインターネットゲートウェイと同様に、この変更を反映するためにそのルーティングテーブルを更新する。通常のパケット伝送に休止がある場合にルーティングテーブルエントリが期限切れにならないようにするため、移動通信機器が定期的に位置更新パケット（ページングパケット）を送信しなければならないように、これらのルーティングエントリは定期的にリフレッシュされる。ＰＡＭＬＡＮが多数の移動通信機器にサービスしているときには、このプロセス全体は相当の負荷である。
【００７９】マイクロモビリティのために、本発明は、インターネットゲートウェイとアクセスポイントの間のＭＰＬＳラベルスイッチパス（ＬＳＰ）を用いて、移動通信トラフィックを処理する。アクセスポイントおよびインターネットゲートウェイは、移動通信トラフィックの方向に応じて、入口または出口のルータとして作用する。ＬＳＰがアクセスポイントとインターネットゲートウェイの間で静的にプロビジョニングされる場合、移動通信機器が移動するときに中間ルータを更新する必要はない。異なるＬＳＰを通じて移動通信トラフィックをリダイレクトするための変更を、古い（旧）アクセスポイント、新しいアクセスポイントおよびインターネットゲートウェイのみに通知すればよい。効率的なマイクロモビリティのサポートとは別に、本発明のこの機能はまた、前述のように、仮想事業者ＬＡＮをプロビジョニングする１つの方法を提供する。
【００８０】本発明のＰＡＭＬＡＮ環境では、移動加入者が新たなアクセスポイントと関連づけられるたびに移動加入者に認証プロセスを繰り返させることは、不便さとトラフィック中断の両方の理由で好ましくない。したがって、ＡＡＡ制御の状態が旧アクセスポイントから新アクセスポイントへ円滑に転送される必要がある。旧アクセスポイントが新アクセスポイントを信頼していれば、高速で円滑なハンドオフが可能である。これは本発明の特徴である。本発明は、高速なハンドオフを保証するために、次のステップを実行する。
１．新アクセスポイントが、旧アクセスポイントから移動加入者プロファイルをフェッチする。とりわけ、この移動加入者プロファイルは、移動加入者の公開鍵、移動加入者が旧アクセスポイントと共有していた旧セッション鍵、移動通信機器のＩＰアドレス、および、旧セッションに関連するすべてのアクセスポリシーを含む。
２．旧アクセスポイントが、ＲＡＤＩＵＳサーバに、現在のアカウンティングセッションの終了を通知する。
３．新アクセスポイントが、新セッション鍵を生成し、移動加入者の公開鍵を用いて、この新セッション鍵および移動加入者の旧セッション鍵を暗号化し、その結果をＵＤＰパケットで移動加入者へ送る。移動加入者は、このパケットを受信すると、これらの鍵を復号し、旧セッション鍵を新セッション鍵と比較する。これらの２つが一致する場合、移動加入者は、新セッション鍵を用いて、アクセスポイントとの安全なセッションを確立する。
４．新アクセスポイントは、移動加入者プロファイル内のアクセスポリシーとともに、フィルタリング機能をインストールする。新アクセスポイントは、ＲＡＤＩＵＳサーバとの新たなアカウンティングセッションを開始する。
【００８１】本発明のさまざまな側面についての以上の記載は、例示および説明の目的で提示されている。これは、網羅的であることや、開示されたとおりの形に本発明を限定することを意図しておらず、さまざまな変更や変形が、上記の説明に照らして可能であり、また、そのような変更や変形は本発明の実施から得られる。本発明の原理およびその実際的な応用は、当業者が、考えている具体的な利用法に適するように、さまざまな実施態様でさまざまな変更を加えて本発明を利用することができるように説明するために、記載されたものである。
【００８２】したがって、ここでは本発明のいくつかの側面についてのみ具体的に説明したが、明らかなように、本発明の技術思想および技術的範囲を離れることなく、さまざまな変更を本発明に加えることが可能である。さらに、頭字語は単に、明細書（特許請求の範囲を含む）の読みやすさを向上させるためにのみ使用されている。注意すべき点であるが、それらの頭字語は、使用されている用語の一般性を縮小することを意図しておらず、特許請求の範囲をここに記載した実施例に制限するように解釈されてはならない。
【００８３】
【発明の効果】以上詳細に説明したように、本発明によれば、無線ネットワーク内の各サブネットワークはネットワークスイッチとエアアクセスポイントを有し、エアアクセスポイントはエアインタフェース、アクセス制御モジュールおよびルータを有し、ルータはネットワークスイッチに接続される。無線ネットワークは、さらに、サブネットワーク間の相互接続を提供するために各サブネットワークのネットワークスイッチに接続されたルータを有する。無線ネットワークは、また、他の外部ネットワークへの接続を提供するために、複数のサブネットワークに接続されたゲートウェイルータを有する。このように構成することで、無線ＬＡＮアクセスサービスにおいて、公衆アクセスを実現することができ、また、ユーザがアクセスポイント間を移動することを可能にする。
【図面の簡単な説明】
【図１】３ＧＰＰにおけるＧＰＲＳおよび３Ｇネットワークアーキテクチャの例を示す図である。
【図２】３ＧＰＰ２分散アーキテクチャの例を示す図である。
【図３】本発明の実施例を示す図である。
【図４】本発明によるアクセスポイントの実施例を示す図である。
【図５】本発明の実施例におけるラベルスイッチパスの利用を示す図である。
【図６】エアアクセスポイントおよび無線機器のために、本発明によって使用されるプロトコルスタックを示す図である。
【図７】複数の仮想事業者に対するマルチプロトコルラベルスイッチングパスを有する、本発明の実施例を示す図である。
【図８】本発明の無線ネットワークにアクセスしようとする移動加入者を認証するために本発明によって利用される認証プロトコルを示す図である。
【図９】本発明の無線ネットワークにアクセスしようとする移動加入者を認証するために本発明によって利用される認証プロトコルを示す流れ図である。
【図１０】本発明の無線ネットワークにアクセスしようとする移動加入者を認証するために本発明によって利用される認証プロトコルを示す流れ図である。
【図１１】本発明におけるマルチプロトコルラベルスイッチングパスの作成と、マルチプロトコルラベルおよび仮想事業者識別タグの割当てを示す流れ図である。
【符号の説明】
１０２ 移動通信交換センタ（ＭＳＣ）
１０３ 基地局
１０４ 基地局コントローラ（ＢＳＣ）
１０５ 基地局トランシーバ（ＢＴＳ）
１０６ ホームロケーションレジスタ（ＨＬＲ）
１０７ バーチャルロケーションレジスタ（ＶＬＲ）
１０８ 端末識別レジスタ（ＥＩＲ）
１０９ 認証センタ
１１０ ゲートウェイＧＰＲＳ／３Ｇサポートノード（ＧＧＳＮ）
１１１ サービングＧＰＲＳ／３Ｇサポートノード（ＳＧＳＮ）
１１２ 無線ネットワーク基地局
１１３ インターネットインタフェース
１１４ 無線ネットワークコントローラ（ＲＮＣ）
１１５ 基地局トランシーバ（ＮＯＤＥ−Ｂ）
２０１ ２Ｇシステム
２０２ ホームロケーションレジスタ（ＨＲＬ）
２０３ バーチャルロケーションレジスタ（ＶＬＲ）
２０４ 無線ネットワーク（ＲＮ）
２０５ パケット制御機能（ＰＣＦ）デバイス
２０６ 無線リソースコントローラ（ＲＲＣ）
２０７ インターネット機器
２０８ ゲートウェイ（ＰＤＳＮ）
２０９ ＩＰネットワーク
２１０ ユーザホームネットワーク
２１１ ゲートウェイ（ＰＤＳＮ）
２１２ 無線ＬＡＮ（ＷＬＡＮ）
２１３ 公衆交換電話ネットワーク（ＰＳＴＮ）
３００ アクセスポイント
３０１ イーサーネットスイッチ
３０２ セグメント間ゲートウェイルータ
３１３ ＩＰアクセスルータ
３２０，３２１，３２２ エアインタフェース
３２５ ＩＰゲートウェイ
３４０ ＩＳＰネットワーク
３４１ 仮想事業者サーバ
３４２ エンドユーザ公開鍵ディレクトリ
４０１ ＰＡＭＬＡＮ
４０２ ＩＰゲートウェイ
４０３，４０４ アクセスポイント
４０６ ＬＳＰ
４０８ 移動端末
５０１ 無線機器のプロトコルスタック
５０２ エアアクセスポイントのプロトコルスタック
６００ ＬＡＮセグメント３
６０１ ＬＡＮセグメント２
６０２ ＬＡＮセグメント１
６１０，６１２ ＰＡＭＬＡＮゲートウェイルータ
６１１，６１３ セグメント間ゲートウェイルータ
【特許請求の範囲】
【請求項１】 無線ネットワークにおいて、各サブネットワークが、少なくとも１つのネットワークスイッチと、エアインタフェースと、アクセス制御モジュールと、ネットワークスイッチに接続されたルータとを有する少なくとも１つのエアアクセスポイントと、を有する複数のサブネットワークと、前記複数のサブネットワークのそれぞれのネットワークスイッチに接続された少なくとも１つのルータと、前記複数のサブネットワークに接続された少なくとも１つのゲートウェイルータと、を有することを特徴とする無線ネットワーク。
【請求項２】 前記ゲートウェイルータは、移動電話ネットワークに接続されることを特徴とする請求項１記載の無線ネットワーク。
【請求項３】 前記ゲートウェイルータは、公衆交換電話ネットワークに接続されることを特徴とする請求項１記載の無線ネットワーク。
【請求項４】 前記ゲートウェイルータは、サービスプロバイダによって運用されるネットワークに接続されることを特徴とする請求項１記載の無線ネットワーク。
【請求項５】 前記サービスプロバイダは、仮想事業者であることを特徴とする請求項４記載の無線ネットワーク。
【請求項６】 移動加入者公開鍵のデータベースを有するサーバが、前記サービスプロバイダによって運用されるネットワークに接続されることを特徴とする請求項５記載の無線ネットワーク。
【請求項７】 前記アクセス制御モジュールは、前記データベースに格納された加入者公開鍵を要求することによって前記無線ネットワークにアクセスしようとする移動加入者を認証することを特徴とする請求項６記載の無線ネットワーク。
【請求項８】 前記少なくとも１つのゲートウェイルータは、複数のゲートウェイルータであることを特徴とする請求項１記載の無線ネットワーク。
【請求項９】 各エアアクセスポイントのアクセス制御モジュールは、アクセス制御モジュールに接続されたエアインタフェースを通じて前記無線ネットワークにアクセスしようとする移動加入者を認証することを特徴とする請求項１記載の無線ネットワーク。
【請求項１０】 移動加入者が前記無線ネットワークにアクセスするときに、該移動加入者にＩＰアドレスが動的に割り当てられることを特徴とする請求項９記載の無線ネットワーク。
【請求項１１】 複数の仮想事業者によって運用される無線ネットワークにおいて、各サブネットワークが、少なくとも１つのネットワークスイッチと、エアインタフェースと、アクセス制御モジュールと、ネットワークスイッチに接続されたルータとを有する少なくとも１つのエアアクセスポイントと、を有する複数のサブネットワークと、前記複数のサブネットワークのそれぞれのネットワークスイッチに接続された少なくとも１つのルータと、前記複数のサブネットワークに接続された少なくとも１つのゲートウェイルータと、を有し、各仮想事業者によって提供されるサービスへのアクセスが、マルチプロトコルラベルスイッチングを用いて、前記ゲートウェイルータと前記複数のサブネットワークとの間で移動加入者データをルーティングすることによってサポートされることを特徴とする無線ネットワーク。
【請求項１２】 少なくとも１つのサブネットワークが少なくとも１つのマルチプロトコルラベルスイッチングパスを有し、少なくとも１つの仮想事業者が該サブネットワークのエアアクセスポイントを通じてアクセスされることを可能にしたことを特徴とする請求項１１記載の無線ネットワーク。
【請求項１３】 各サブネットワークが少なくとも１つのマルチプロトコルラベルスイッチングパスを有し、少なくとも１つの仮想事業者が各サブネットワークのエアアクセスポイントを通じてアクセスされることを可能にしたことを特徴とする請求項１１記載の無線ネットワーク。
【請求項１４】 各サブネットワークが複数のマルチプロトコルラベルスイッチングパスを有し、複数の仮想事業者が各サブネットワークのエアアクセスポイントを通じてアクセスされることを可能にしたことを特徴とする請求項１１記載の無線ネットワーク。
【請求項１５】 前記複数の仮想事業者のそれぞれに、前記無線ネットワークを通るデータのパケットヘッダに埋め込まれる識別タグが割り当てられることを特徴とする請求項１１記載の無線ネットワーク。
【請求項１６】 前記少なくとも１つのゲートウェイルータと、少なくとも１つのサブネットワーク内のエアアクセスポイントとの間に、マルチプロトコルラベルスイッチングに基づくトンネルが提供されることを特徴とする請求項１１記載の無線ネットワーク。
【請求項１７】 前記無線ネットワークを通るデータパケットのヘッダにマルチプロトコルラベルスイッチング情報が割り当てられ、サブネットワークのネットワークスイッチは、データパケットのヘッダに基づいてトンネルを通じてデータパケットをルーティングすることを特徴とする請求項１６記載の無線ネットワーク。
【請求項１８】 無線ネットワークにアクセスする移動加入者を認証する方法において、移動加入者がエアインタフェースおよびコンピュータを有するエアアクセスポイントを通じて無線ネットワークにアクセスし、エアアクセスポイントコンピュータが移動加入者に関連する公開鍵を格納するデータベースサーバに接続されており、前記方法が、移動端末からエアアクセスコンピュータへ、ユーザ識別番号を有する第１メッセージを送信し、第１符号語を計算し、第１符号語をデータベースコンピュータへ転送するステップと、データベースコンピュータからエアアクセスポイントコンピュータへ第２符号語を送信するステップと、第２符号語から第１ランダム文字列を抽出し、ユーザ識別番号および第１ランダム文字列を含む第２メッセージを移動端末へ送信するステップと、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、および第３符号語を有する第３メッセージを、移動端末からエアアクセスコンピュータへ送信するステップと、移動端末から受信された第３メッセージに基づいて第４符号語を計算し、第４符号語をデータベースコンピュータへ送信するステップと、データベースコンピュータで第５符号語を計算し、第５符号語をエアアクセスコンピュータへ送信するステップと、第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージをエアアクセスコンピュータから移動端末へ送信するステップと、を有することを特徴とする、無線ネットワークにアクセスする移動加入者を認証する方法。
【請求項１９】 エアアクセスコンピュータは、秘密鍵を用いてユーザ識別番号の認証暗号化を実行することによって第１符号語を計算することを特徴とする請求項１８記載の方法。
【請求項２０】 前記秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項１９記載の方法。
【請求項２１】 データベースコンピュータは、ユーザ識別番号、第１ランダム文字列、第１秘密鍵および第２秘密鍵を用いて第２符号語を計算することを特徴とする請求項１８記載の方法。
【請求項２２】 第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項２１記載の方法。
【請求項２３】 第１ランダム文字列が、第１暗号化メッセージを生成するために第２秘密鍵を用いて暗号化されることを特徴とする請求項２２記載の方法。
【請求項２４】 第１暗号化メッセージが、第２暗号化メッセージを生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項２３記載の方法。
【請求項２５】 ユーザ識別番号、第１ランダム文字列および第２暗号化メッセージが、第２符号語を生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項２４記載の方法。
【請求項２６】 第１ランダム文字列が、第３符号語を生成するために秘密鍵で暗号化されることを特徴とする請求項１８記載の方法。
【請求項２７】 前記秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項２６記載の方法。
【請求項２８】 第４符号語は、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、第１秘密鍵および第２秘密鍵を用いて計算されることを特徴とする請求項１８記載の方法。
【請求項２９】 第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項２８記載の方法。
【請求項３０】 第１ランダム文字列が、第１暗号化メッセージを生成するために第２秘密鍵を用いて暗号化されることを特徴とする請求項２９記載の方法。
【請求項３１】 ユーザ識別番号、第１暗号化メッセージおよび第２ランダム文字列が、第４符号語を生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項３０記載の方法。
【請求項３２】 第５符号語は、ユーザ識別番号、第１ランダム文字列、第１秘密鍵、第２秘密鍵、および、移動加入者に関連する公開鍵を用いて計算されることを特徴とする請求項１８記載の方法。
【請求項３３】 第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項３２記載の方法。
【請求項３４】 第１ランダム文字列が、第１暗号化メッセージを生成するために第２秘密鍵を用いて暗号化されることを特徴とする請求項３３記載の方法。
【請求項３５】 第１暗号化メッセージが、第２暗号化メッセージを生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項３４記載の方法。
【請求項３６】 ユーザ識別番号、第１ランダム文字列、第２暗号化メッセージおよび移動加入者の公開鍵が、第５符号語を生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項３５記載の方法。
【請求項３７】 第６符号語は、第２ランダム文字列、秘密鍵、ならびに、移動加入者の公開鍵を用いて計算されることを特徴とする請求項１８記載の方法。
【請求項３８】 前記秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項３７記載の方法。
【請求項３９】 第２ランダム文字列が、第１暗号化メッセージを生成するために前記秘密鍵を用いて暗号化されることを特徴とする請求項３８記載の方法。
【請求項４０】 第１暗号化メッセージが、第６符号語を生成するために移動加入者の公開鍵を用いて暗号化されることを特徴とする請求項３９記載の方法。
【請求項４１】 第１ランダム文字列は、移動端末によって生成されることを特徴とする請求項１８記載の方法。
【請求項４２】 第２ランダム文字列は、データベースコンピュータによって生成されることを特徴とする請求項１８記載の方法。
【請求項４３】 無線ネットワークにアクセスする移動加入者を認証するためのコンピュータソフトウェア製品において、移動加入者は、エアアクセスポイントを通じて無線ネットワークにアクセスし、エアアクセスポイントは、エアインタフェースおよびコンピュータを有し、エアアクセスポイントコンピュータは、移動加入者に関連する公開鍵を格納するデータベースサーバに接続され、前記コンピュータソフトウェア製品は、エアアクセスコンピュータおよびデータベースコンピュータが所定のオペレーションを実行することを可能にするソフトウェア命令と、該ソフトウェア命令を保持するコンピュータ可読媒体とを含み、前記所定のオペレーションは、移動端末からエアアクセスコンピュータへ、ユーザ識別番号を有する第１メッセージを送信し、第１符号語を計算し、第１符号語をデータベースコンピュータへ転送し、データベースコンピュータからエアアクセスポイントコンピュータへ第２符号語を送信し、第２符号語から第１ランダム文字列を抽出し、ユーザ識別番号および第１ランダム文字列を含む第２メッセージを移動端末へ送信し、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、および第３符号語を有する第３メッセージを、移動端末からエアアクセスコンピュータへ送信し、移動端末から受信された第３メッセージに基づいて第４符号語を計算し、第４符号語をデータベースコンピュータへ送信し、データベースコンピュータで第５符号語を計算し、第５符号語をエアアクセスコンピュータへ送信し、第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージをエアアクセスコンピュータから移動端末へ送信する、ステップを含むことを特徴とする、無線ネットワークにアクセスする移動加入者を認証するためのコンピュータソフトウェア製品。
【請求項４４】 前記所定のオペレーションにより、エアアクセスコンピュータは、秘密鍵を用いてユーザ識別番号の認証暗号化を実行することによって第１符号語を計算することを特徴とする請求項４３記載のコンピュータソフトウェア製品。
【請求項４５】 前記秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項４４記載のコンピュータソフトウェア製品。
【請求項４６】 前記所定のオペレーションにより、データベースコンピュータは、ユーザ識別番号、第１ランダム文字列、第１秘密鍵および第２秘密鍵を用いて第２符号語を計算することを特徴とする請求項４３記載のコンピュータソフトウェア製品。
【請求項４７】 第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項４６記載のコンピュータソフトウェア製品。
【請求項４８】 前記所定のオペレーションは、第１暗号化メッセージを生成するために第２秘密鍵を用いて第１ランダム文字列を暗号化することをさらに含むことを特徴とする請求項４７記載のコンピュータソフトウェア製品。
【請求項４９】 前記所定のオペレーションは、第２暗号化メッセージを生成するために第１秘密鍵を用いて第１暗号化メッセージを暗号化することをさらに含むことを特徴とする請求項４８記載のコンピュータソフトウェア製品。
【請求項５０】 前記所定のオペレーションは、第２符号語を生成するために第１秘密鍵を用いてユーザ識別番号、第１ランダム文字列および第２暗号化メッセージを暗号化することをさらに含むことを特徴とする請求項４９記載のコンピュータソフトウェア製品。
【請求項５１】 前記所定のオペレーションは、第３符号語を生成するために秘密鍵で第１ランダム文字列を暗号化することをさらに含むことを特徴とする請求項４３記載のコンピュータソフトウェア製品。
【請求項５２】 前記秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項５１記載のコンピュータソフトウェア製品。
【請求項５３】 前記所定のオペレーションは、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、第１秘密鍵および第２秘密鍵を用いて第４符号語を計算することをさらに含むことを特徴とする請求項４３記載のコンピュータソフトウェア製品。
【請求項５４】 第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項５３記載のコンピュータソフトウェア製品。
【請求項５５】 前記所定のオペレーションは、第１暗号化メッセージを生成するために第２秘密鍵を用いて第１ランダム文字列を暗号化することをさらに含むことを特徴とする請求項５４記載のコンピュータソフトウェア製品。
【請求項５６】 前記所定のオペレーションは、第４符号語を生成するために第１秘密鍵を用いてユーザ識別番号、第１暗号化メッセージおよび第２ランダム文字列を暗号化することをさらに含むことを特徴とする請求項５５記載のコンピュータソフトウェア製品。
【請求項５７】 前記所定のオペレーションは、ユーザ識別番号、第１ランダム文字列、第１秘密鍵、第２秘密鍵、および、移動加入者に関連する公開鍵を用いて第５符号語を計算することをさらに含むことを特徴とする請求項４３記載のコンピュータソフトウェア製品。
【請求項５８】 第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項５７記載のコンピュータソフトウェア製品。
【請求項５９】 前記所定のオペレーションは、第１暗号化メッセージを生成するために第２秘密鍵を用いて第１ランダム文字列を暗号化することをさらに含むことを特徴とする請求項５８記載のコンピュータソフトウェア製品。
【請求項６０】 前記所定のオペレーションは、第２暗号化メッセージを生成するために第１秘密鍵を用いて第１暗号化メッセージを暗号化することをさらに含むことを特徴とする請求項５９記載のコンピュータソフトウェア製品。
【請求項６１】 前記所定のオペレーションは、第５符号語を生成するために第１秘密鍵を用いてユーザ識別番号、第１ランダム文字列、第２暗号化メッセージおよび移動加入者の公開鍵を暗号化することをさらに含むことを特徴とする請求項６０記載のコンピュータソフトウェア製品。
【請求項６２】 前記所定のオペレーションは、第２ランダム文字列、秘密鍵、ならびに、移動加入者の公開鍵を用いて第６符号語を計算することをさらに含むことを特徴とする請求項４３記載のコンピュータソフトウェア製品。
【請求項６３】 前記秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項６２記載のコンピュータソフトウェア製品。
【請求項６４】 前記所定のオペレーションは、第１暗号化メッセージを生成するために前記秘密鍵を用いて第２ランダム文字列を暗号化することをさらに含むことを特徴とする請求項６３記載のコンピュータソフトウェア製品。
【請求項６５】 前記所定のオペレーションは、第６符号語を生成するために移動加入者の公開鍵を用いて第１暗号化メッセージを暗号化することをさらに含むことを特徴とする請求項６４記載のコンピュータソフトウェア製品。
【請求項６６】 移動通信サービスが複数の仮想事業者によって提供される無線ネットワークを運用する方法において、無線ネットワークは複数のサブネットワークを含み、各サブネットワークは、少なくとも１つのネットワークスイッチと、エアインタフェースと、アクセス制御モジュールと、ネットワークスイッチに接続されたルータとを有する少なくとも１つのエアアクセスポイントとを有し、無線ネットワークはさらに、前記複数のサブネットワークのそれぞれのネットワークスイッチに接続された少なくとも１つのルータと、前記複数のサブネットワークに接続された少なくとも１つのゲートウェイルータとを有し、前記方法は、各サブネットワーク内のエアアクセスポイントと、前記少なくとも１つのゲートウェイルータとの間に複数のマルチプロトコルラベルスイッチングパスを作成するステップと、仮想事業者が各サブネットワークのエアアクセスポイントを通じてアクセスされることができるように、各マルチプロトコルラベルスイッチングパスを前記複数の仮想事業者のうちの１つに割り当てるステップと、無線ネットワークを通るデータのパケットヘッダに埋め込まれる識別タグを、前記複数の仮想事業者のそれぞれに割り当てるステップとを有することを特徴とする、無線ネットワークを運用する方法。
【請求項６７】 無線ネットワークを通るデータパケットのヘッダにマルチプロトコルラベルスイッチング情報を割り当てるステップをさらに有し、サブネットワークのネットワークスイッチが、データパケットのヘッダに基づいてマルチプロトコルラベルスイッチングパスを通じてデータパケットをルーティングすることを特徴とする請求項６６記載の方法。
【請求項６８】 移動加入者が仮想事業者と結んでいる加入契約のタイプに基づいて、所定のリストのサービスへの移動加入者のアクセスを許可するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項６９】 広告と引き換えに所定のリストのサービスへのアクセスを提供するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７０】 所定のセットの情報源へのアクセスを排除するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７１】 仮想事業者のＱｏＳ制限に基づいて、無線ネットワークへの移動加入者のアクセスを制限するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７２】 無線ネットワークへのアクセスを提供する各仮想事業者のアカウンティングシステムへ送られるべきアカウンティング情報を収集するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７３】 前記アカウンティング情報は、セッション継続時間、要求されたサービス、および、提供されたサービスのレベルを含むことを特徴とする請求項７２記載の方法。
【請求項７４】 無線ネットワークへの無制限アクセスに対する定額料金を各移動加入者に課金するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７５】 移動加入者が無線ネットワークにアクセスする各回ごとに料金を各移動加入者に課金するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７６】 移動加入者が無線ネットワークにアクセスした全時間に基づいて料金を各移動加入者に課金するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７７】 正しく認証されたユーザを第１エアアクセスポイントから第２エアアクセスポイントへ移行するステップをさらに有し、このステップが、移動加入者のプロファイルを第１エアアクセスポイントからフェッチし、それを第２エアアクセスポイントに格納するステップと、前記移動加入者が第１エアアクセスポイントへのアクセスを許可されたときに開始されたアカウンティングセッションの終了を通知するステップと、第２エアアクセスポイントにおいて新たなセッションを確立するステップと、第２エアアクセスポイントにおいて新たなアカウンティングセッションを開始するステップとを有することを特徴とする請求項６６記載の方法。
【請求項７８】 第１エアアクセスポイントにある移動加入者のプロファイルは、前記移動加入者に関連する公開鍵と、第１エアアクセスポイントにおけるセッションに関連するアクセスポリシーと、移動端末のＩＰアドレスと、前記移動加入者と第１エアアクセスポイントによって共有されるセッション鍵とを含むことを特徴とする請求項７７記載の方法。
【請求項７９】 第２エアアクセスポイントにおいて新たなセッションを確立するステップは、移動加入者と第２エアアクセスポイントによって共有されることになるセッション鍵を生成するステップと、前記移動加入者と第２エアアクセスポイントによって共有されることになるセッション鍵と、前記移動加入者と第１エアアクセスポイントによって共有されるセッション鍵とを、前記移動加入者に関連する公開鍵で暗号化し、暗号化された結果を移動端末へ転送するステップと、前記暗号化された結果を復号し、前記移動加入者と第２エアアクセスポイントによって共有されることになるセッション鍵と、前記移動加入者と第１エアアクセスポイントによって共有されるセッション鍵が一致するかどうかを判定するステップと、判定結果が真である場合、第２エアアクセスポイントと移動端末の間に安全なコネクションを確立し、真でない場合、移動端末に許可されたアクセスを終了するステップとを有することを特徴とする請求項７８記載の方法。
【請求項８０】 第２エアアクセスポイントにおいて新たなセッションを確立するステップは、移動加入者が第２エアアクセスポイントにおいてセッションを確立したことを前記少なくとも１つのゲートウェイルータに通知するステップをさらに有することを特徴とする請求項７９記載の方法。
【請求項１】 無線ネットワークにおいて、各サブネットワークが、少なくとも１つのネットワークスイッチと、エアインタフェースと、アクセス制御モジュールと、ネットワークスイッチに接続されたルータとを有する少なくとも１つのエアアクセスポイントと、を有する複数のサブネットワークと、前記複数のサブネットワークのそれぞれのネットワークスイッチに接続された少なくとも１つのルータと、前記複数のサブネットワークに接続された少なくとも１つのゲートウェイルータと、を有することを特徴とする無線ネットワーク。
【請求項２】 前記ゲートウェイルータは、移動電話ネットワークに接続されることを特徴とする請求項１記載の無線ネットワーク。
【請求項３】 前記ゲートウェイルータは、公衆交換電話ネットワークに接続されることを特徴とする請求項１記載の無線ネットワーク。
【請求項４】 前記ゲートウェイルータは、サービスプロバイダによって運用されるネットワークに接続されることを特徴とする請求項１記載の無線ネットワーク。
【請求項５】 前記サービスプロバイダは、仮想事業者であることを特徴とする請求項４記載の無線ネットワーク。
【請求項６】 移動加入者公開鍵のデータベースを有するサーバが、前記サービスプロバイダによって運用されるネットワークに接続されることを特徴とする請求項５記載の無線ネットワーク。
【請求項７】 前記アクセス制御モジュールは、前記データベースに格納された加入者公開鍵を要求することによって前記無線ネットワークにアクセスしようとする移動加入者を認証することを特徴とする請求項６記載の無線ネットワーク。
【請求項８】 前記少なくとも１つのゲートウェイルータは、複数のゲートウェイルータであることを特徴とする請求項１記載の無線ネットワーク。
【請求項９】 各エアアクセスポイントのアクセス制御モジュールは、アクセス制御モジュールに接続されたエアインタフェースを通じて前記無線ネットワークにアクセスしようとする移動加入者を認証することを特徴とする請求項１記載の無線ネットワーク。
【請求項１０】 移動加入者が前記無線ネットワークにアクセスするときに、該移動加入者にＩＰアドレスが動的に割り当てられることを特徴とする請求項９記載の無線ネットワーク。
【請求項１１】 複数の仮想事業者によって運用される無線ネットワークにおいて、各サブネットワークが、少なくとも１つのネットワークスイッチと、エアインタフェースと、アクセス制御モジュールと、ネットワークスイッチに接続されたルータとを有する少なくとも１つのエアアクセスポイントと、を有する複数のサブネットワークと、前記複数のサブネットワークのそれぞれのネットワークスイッチに接続された少なくとも１つのルータと、前記複数のサブネットワークに接続された少なくとも１つのゲートウェイルータと、を有し、各仮想事業者によって提供されるサービスへのアクセスが、マルチプロトコルラベルスイッチングを用いて、前記ゲートウェイルータと前記複数のサブネットワークとの間で移動加入者データをルーティングすることによってサポートされることを特徴とする無線ネットワーク。
【請求項１２】 少なくとも１つのサブネットワークが少なくとも１つのマルチプロトコルラベルスイッチングパスを有し、少なくとも１つの仮想事業者が該サブネットワークのエアアクセスポイントを通じてアクセスされることを可能にしたことを特徴とする請求項１１記載の無線ネットワーク。
【請求項１３】 各サブネットワークが少なくとも１つのマルチプロトコルラベルスイッチングパスを有し、少なくとも１つの仮想事業者が各サブネットワークのエアアクセスポイントを通じてアクセスされることを可能にしたことを特徴とする請求項１１記載の無線ネットワーク。
【請求項１４】 各サブネットワークが複数のマルチプロトコルラベルスイッチングパスを有し、複数の仮想事業者が各サブネットワークのエアアクセスポイントを通じてアクセスされることを可能にしたことを特徴とする請求項１１記載の無線ネットワーク。
【請求項１５】 前記複数の仮想事業者のそれぞれに、前記無線ネットワークを通るデータのパケットヘッダに埋め込まれる識別タグが割り当てられることを特徴とする請求項１１記載の無線ネットワーク。
【請求項１６】 前記少なくとも１つのゲートウェイルータと、少なくとも１つのサブネットワーク内のエアアクセスポイントとの間に、マルチプロトコルラベルスイッチングに基づくトンネルが提供されることを特徴とする請求項１１記載の無線ネットワーク。
【請求項１７】 前記無線ネットワークを通るデータパケットのヘッダにマルチプロトコルラベルスイッチング情報が割り当てられ、サブネットワークのネットワークスイッチは、データパケットのヘッダに基づいてトンネルを通じてデータパケットをルーティングすることを特徴とする請求項１６記載の無線ネットワーク。
【請求項１８】 無線ネットワークにアクセスする移動加入者を認証する方法において、移動加入者がエアインタフェースおよびコンピュータを有するエアアクセスポイントを通じて無線ネットワークにアクセスし、エアアクセスポイントコンピュータが移動加入者に関連する公開鍵を格納するデータベースサーバに接続されており、前記方法が、移動端末からエアアクセスコンピュータへ、ユーザ識別番号を有する第１メッセージを送信し、第１符号語を計算し、第１符号語をデータベースコンピュータへ転送するステップと、データベースコンピュータからエアアクセスポイントコンピュータへ第２符号語を送信するステップと、第２符号語から第１ランダム文字列を抽出し、ユーザ識別番号および第１ランダム文字列を含む第２メッセージを移動端末へ送信するステップと、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、および第３符号語を有する第３メッセージを、移動端末からエアアクセスコンピュータへ送信するステップと、移動端末から受信された第３メッセージに基づいて第４符号語を計算し、第４符号語をデータベースコンピュータへ送信するステップと、データベースコンピュータで第５符号語を計算し、第５符号語をエアアクセスコンピュータへ送信するステップと、第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージをエアアクセスコンピュータから移動端末へ送信するステップと、を有することを特徴とする、無線ネットワークにアクセスする移動加入者を認証する方法。
【請求項１９】 エアアクセスコンピュータは、秘密鍵を用いてユーザ識別番号の認証暗号化を実行することによって第１符号語を計算することを特徴とする請求項１８記載の方法。
【請求項２０】 前記秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項１９記載の方法。
【請求項２１】 データベースコンピュータは、ユーザ識別番号、第１ランダム文字列、第１秘密鍵および第２秘密鍵を用いて第２符号語を計算することを特徴とする請求項１８記載の方法。
【請求項２２】 第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項２１記載の方法。
【請求項２３】 第１ランダム文字列が、第１暗号化メッセージを生成するために第２秘密鍵を用いて暗号化されることを特徴とする請求項２２記載の方法。
【請求項２４】 第１暗号化メッセージが、第２暗号化メッセージを生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項２３記載の方法。
【請求項２５】 ユーザ識別番号、第１ランダム文字列および第２暗号化メッセージが、第２符号語を生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項２４記載の方法。
【請求項２６】 第１ランダム文字列が、第３符号語を生成するために秘密鍵で暗号化されることを特徴とする請求項１８記載の方法。
【請求項２７】 前記秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項２６記載の方法。
【請求項２８】 第４符号語は、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、第１秘密鍵および第２秘密鍵を用いて計算されることを特徴とする請求項１８記載の方法。
【請求項２９】 第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項２８記載の方法。
【請求項３０】 第１ランダム文字列が、第１暗号化メッセージを生成するために第２秘密鍵を用いて暗号化されることを特徴とする請求項２９記載の方法。
【請求項３１】 ユーザ識別番号、第１暗号化メッセージおよび第２ランダム文字列が、第４符号語を生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項３０記載の方法。
【請求項３２】 第５符号語は、ユーザ識別番号、第１ランダム文字列、第１秘密鍵、第２秘密鍵、および、移動加入者に関連する公開鍵を用いて計算されることを特徴とする請求項１８記載の方法。
【請求項３３】 第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項３２記載の方法。
【請求項３４】 第１ランダム文字列が、第１暗号化メッセージを生成するために第２秘密鍵を用いて暗号化されることを特徴とする請求項３３記載の方法。
【請求項３５】 第１暗号化メッセージが、第２暗号化メッセージを生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項３４記載の方法。
【請求項３６】 ユーザ識別番号、第１ランダム文字列、第２暗号化メッセージおよび移動加入者の公開鍵が、第５符号語を生成するために第１秘密鍵を用いて暗号化されることを特徴とする請求項３５記載の方法。
【請求項３７】 第６符号語は、第２ランダム文字列、秘密鍵、ならびに、移動加入者の公開鍵を用いて計算されることを特徴とする請求項１８記載の方法。
【請求項３８】 前記秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項３７記載の方法。
【請求項３９】 第２ランダム文字列が、第１暗号化メッセージを生成するために前記秘密鍵を用いて暗号化されることを特徴とする請求項３８記載の方法。
【請求項４０】 第１暗号化メッセージが、第６符号語を生成するために移動加入者の公開鍵を用いて暗号化されることを特徴とする請求項３９記載の方法。
【請求項４１】 第１ランダム文字列は、移動端末によって生成されることを特徴とする請求項１８記載の方法。
【請求項４２】 第２ランダム文字列は、データベースコンピュータによって生成されることを特徴とする請求項１８記載の方法。
【請求項４３】 無線ネットワークにアクセスする移動加入者を認証するためのコンピュータソフトウェア製品において、移動加入者は、エアアクセスポイントを通じて無線ネットワークにアクセスし、エアアクセスポイントは、エアインタフェースおよびコンピュータを有し、エアアクセスポイントコンピュータは、移動加入者に関連する公開鍵を格納するデータベースサーバに接続され、前記コンピュータソフトウェア製品は、エアアクセスコンピュータおよびデータベースコンピュータが所定のオペレーションを実行することを可能にするソフトウェア命令と、該ソフトウェア命令を保持するコンピュータ可読媒体とを含み、前記所定のオペレーションは、移動端末からエアアクセスコンピュータへ、ユーザ識別番号を有する第１メッセージを送信し、第１符号語を計算し、第１符号語をデータベースコンピュータへ転送し、データベースコンピュータからエアアクセスポイントコンピュータへ第２符号語を送信し、第２符号語から第１ランダム文字列を抽出し、ユーザ識別番号および第１ランダム文字列を含む第２メッセージを移動端末へ送信し、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、および第３符号語を有する第３メッセージを、移動端末からエアアクセスコンピュータへ送信し、移動端末から受信された第３メッセージに基づいて第４符号語を計算し、第４符号語をデータベースコンピュータへ送信し、データベースコンピュータで第５符号語を計算し、第５符号語をエアアクセスコンピュータへ送信し、第６符号語を計算し、ユーザ識別番号および第６符号語を含む第４メッセージをエアアクセスコンピュータから移動端末へ送信する、ステップを含むことを特徴とする、無線ネットワークにアクセスする移動加入者を認証するためのコンピュータソフトウェア製品。
【請求項４４】 前記所定のオペレーションにより、エアアクセスコンピュータは、秘密鍵を用いてユーザ識別番号の認証暗号化を実行することによって第１符号語を計算することを特徴とする請求項４３記載のコンピュータソフトウェア製品。
【請求項４５】 前記秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項４４記載のコンピュータソフトウェア製品。
【請求項４６】 前記所定のオペレーションにより、データベースコンピュータは、ユーザ識別番号、第１ランダム文字列、第１秘密鍵および第２秘密鍵を用いて第２符号語を計算することを特徴とする請求項４３記載のコンピュータソフトウェア製品。
【請求項４７】 第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項４６記載のコンピュータソフトウェア製品。
【請求項４８】 前記所定のオペレーションは、第１暗号化メッセージを生成するために第２秘密鍵を用いて第１ランダム文字列を暗号化することをさらに含むことを特徴とする請求項４７記載のコンピュータソフトウェア製品。
【請求項４９】 前記所定のオペレーションは、第２暗号化メッセージを生成するために第１秘密鍵を用いて第１暗号化メッセージを暗号化することをさらに含むことを特徴とする請求項４８記載のコンピュータソフトウェア製品。
【請求項５０】 前記所定のオペレーションは、第２符号語を生成するために第１秘密鍵を用いてユーザ識別番号、第１ランダム文字列および第２暗号化メッセージを暗号化することをさらに含むことを特徴とする請求項４９記載のコンピュータソフトウェア製品。
【請求項５１】 前記所定のオペレーションは、第３符号語を生成するために秘密鍵で第１ランダム文字列を暗号化することをさらに含むことを特徴とする請求項４３記載のコンピュータソフトウェア製品。
【請求項５２】 前記秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項５１記載のコンピュータソフトウェア製品。
【請求項５３】 前記所定のオペレーションは、ユーザ識別番号、第１ランダム文字列、第２ランダム文字列、第１秘密鍵および第２秘密鍵を用いて第４符号語を計算することをさらに含むことを特徴とする請求項４３記載のコンピュータソフトウェア製品。
【請求項５４】 第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項５３記載のコンピュータソフトウェア製品。
【請求項５５】 前記所定のオペレーションは、第１暗号化メッセージを生成するために第２秘密鍵を用いて第１ランダム文字列を暗号化することをさらに含むことを特徴とする請求項５４記載のコンピュータソフトウェア製品。
【請求項５６】 前記所定のオペレーションは、第４符号語を生成するために第１秘密鍵を用いてユーザ識別番号、第１暗号化メッセージおよび第２ランダム文字列を暗号化することをさらに含むことを特徴とする請求項５５記載のコンピュータソフトウェア製品。
【請求項５７】 前記所定のオペレーションは、ユーザ識別番号、第１ランダム文字列、第１秘密鍵、第２秘密鍵、および、移動加入者に関連する公開鍵を用いて第５符号語を計算することをさらに含むことを特徴とする請求項４３記載のコンピュータソフトウェア製品。
【請求項５８】 第１秘密鍵は、エアアクセスコンピュータおよびデータベースコンピュータにのみ知られた鍵であり、第２秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項５７記載のコンピュータソフトウェア製品。
【請求項５９】 前記所定のオペレーションは、第１暗号化メッセージを生成するために第２秘密鍵を用いて第１ランダム文字列を暗号化することをさらに含むことを特徴とする請求項５８記載のコンピュータソフトウェア製品。
【請求項６０】 前記所定のオペレーションは、第２暗号化メッセージを生成するために第１秘密鍵を用いて第１暗号化メッセージを暗号化することをさらに含むことを特徴とする請求項５９記載のコンピュータソフトウェア製品。
【請求項６１】 前記所定のオペレーションは、第５符号語を生成するために第１秘密鍵を用いてユーザ識別番号、第１ランダム文字列、第２暗号化メッセージおよび移動加入者の公開鍵を暗号化することをさらに含むことを特徴とする請求項６０記載のコンピュータソフトウェア製品。
【請求項６２】 前記所定のオペレーションは、第２ランダム文字列、秘密鍵、ならびに、移動加入者の公開鍵を用いて第６符号語を計算することをさらに含むことを特徴とする請求項４３記載のコンピュータソフトウェア製品。
【請求項６３】 前記秘密鍵は、移動加入者およびデータベースコンピュータにのみ知られた鍵であることを特徴とする請求項６２記載のコンピュータソフトウェア製品。
【請求項６４】 前記所定のオペレーションは、第１暗号化メッセージを生成するために前記秘密鍵を用いて第２ランダム文字列を暗号化することをさらに含むことを特徴とする請求項６３記載のコンピュータソフトウェア製品。
【請求項６５】 前記所定のオペレーションは、第６符号語を生成するために移動加入者の公開鍵を用いて第１暗号化メッセージを暗号化することをさらに含むことを特徴とする請求項６４記載のコンピュータソフトウェア製品。
【請求項６６】 移動通信サービスが複数の仮想事業者によって提供される無線ネットワークを運用する方法において、無線ネットワークは複数のサブネットワークを含み、各サブネットワークは、少なくとも１つのネットワークスイッチと、エアインタフェースと、アクセス制御モジュールと、ネットワークスイッチに接続されたルータとを有する少なくとも１つのエアアクセスポイントとを有し、無線ネットワークはさらに、前記複数のサブネットワークのそれぞれのネットワークスイッチに接続された少なくとも１つのルータと、前記複数のサブネットワークに接続された少なくとも１つのゲートウェイルータとを有し、前記方法は、各サブネットワーク内のエアアクセスポイントと、前記少なくとも１つのゲートウェイルータとの間に複数のマルチプロトコルラベルスイッチングパスを作成するステップと、仮想事業者が各サブネットワークのエアアクセスポイントを通じてアクセスされることができるように、各マルチプロトコルラベルスイッチングパスを前記複数の仮想事業者のうちの１つに割り当てるステップと、無線ネットワークを通るデータのパケットヘッダに埋め込まれる識別タグを、前記複数の仮想事業者のそれぞれに割り当てるステップとを有することを特徴とする、無線ネットワークを運用する方法。
【請求項６７】 無線ネットワークを通るデータパケットのヘッダにマルチプロトコルラベルスイッチング情報を割り当てるステップをさらに有し、サブネットワークのネットワークスイッチが、データパケットのヘッダに基づいてマルチプロトコルラベルスイッチングパスを通じてデータパケットをルーティングすることを特徴とする請求項６６記載の方法。
【請求項６８】 移動加入者が仮想事業者と結んでいる加入契約のタイプに基づいて、所定のリストのサービスへの移動加入者のアクセスを許可するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項６９】 広告と引き換えに所定のリストのサービスへのアクセスを提供するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７０】 所定のセットの情報源へのアクセスを排除するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７１】 仮想事業者のＱｏＳ制限に基づいて、無線ネットワークへの移動加入者のアクセスを制限するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７２】 無線ネットワークへのアクセスを提供する各仮想事業者のアカウンティングシステムへ送られるべきアカウンティング情報を収集するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７３】 前記アカウンティング情報は、セッション継続時間、要求されたサービス、および、提供されたサービスのレベルを含むことを特徴とする請求項７２記載の方法。
【請求項７４】 無線ネットワークへの無制限アクセスに対する定額料金を各移動加入者に課金するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７５】 移動加入者が無線ネットワークにアクセスする各回ごとに料金を各移動加入者に課金するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７６】 移動加入者が無線ネットワークにアクセスした全時間に基づいて料金を各移動加入者に課金するステップをさらに有することを特徴とする請求項６６記載の方法。
【請求項７７】 正しく認証されたユーザを第１エアアクセスポイントから第２エアアクセスポイントへ移行するステップをさらに有し、このステップが、移動加入者のプロファイルを第１エアアクセスポイントからフェッチし、それを第２エアアクセスポイントに格納するステップと、前記移動加入者が第１エアアクセスポイントへのアクセスを許可されたときに開始されたアカウンティングセッションの終了を通知するステップと、第２エアアクセスポイントにおいて新たなセッションを確立するステップと、第２エアアクセスポイントにおいて新たなアカウンティングセッションを開始するステップとを有することを特徴とする請求項６６記載の方法。
【請求項７８】 第１エアアクセスポイントにある移動加入者のプロファイルは、前記移動加入者に関連する公開鍵と、第１エアアクセスポイントにおけるセッションに関連するアクセスポリシーと、移動端末のＩＰアドレスと、前記移動加入者と第１エアアクセスポイントによって共有されるセッション鍵とを含むことを特徴とする請求項７７記載の方法。
【請求項７９】 第２エアアクセスポイントにおいて新たなセッションを確立するステップは、移動加入者と第２エアアクセスポイントによって共有されることになるセッション鍵を生成するステップと、前記移動加入者と第２エアアクセスポイントによって共有されることになるセッション鍵と、前記移動加入者と第１エアアクセスポイントによって共有されるセッション鍵とを、前記移動加入者に関連する公開鍵で暗号化し、暗号化された結果を移動端末へ転送するステップと、前記暗号化された結果を復号し、前記移動加入者と第２エアアクセスポイントによって共有されることになるセッション鍵と、前記移動加入者と第１エアアクセスポイントによって共有されるセッション鍵が一致するかどうかを判定するステップと、判定結果が真である場合、第２エアアクセスポイントと移動端末の間に安全なコネクションを確立し、真でない場合、移動端末に許可されたアクセスを終了するステップとを有することを特徴とする請求項７８記載の方法。
【請求項８０】 第２エアアクセスポイントにおいて新たなセッションを確立するステップは、移動加入者が第２エアアクセスポイントにおいてセッションを確立したことを前記少なくとも１つのゲートウェイルータに通知するステップをさらに有することを特徴とする請求項７９記載の方法。
【図３】
【図４】
【図１】
【図５】
【図１０】
【図２】
【図６】
【図１１】
【図７】
【図８】
【図９】
【図４】
【図１】
【図５】
【図１０】
【図２】
【図６】
【図１１】
【図７】
【図８】
【図９】
【公開番号】特開２００３−６０６５３（Ｐ２００３−６０６５３Ａ）
【公開日】平成１５年２月２８日（２００３．２．２８）
【国際特許分類】
【出願番号】特願２００２−１４０９８４（Ｐ２００２−１４０９８４）
【出願日】平成１４年５月１６日（２００２．５．１６）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
【公開日】平成１５年２月２８日（２００３．２．２８）
【国際特許分類】
【出願日】平成１４年５月１６日（２００２．５．１６）
【出願人】（０００００４２３７）日本電気株式会社 (19,353)
【Ｆターム（参考）】
[ Back to top ]